Utilice el siguiente procedimiento para integrar una máquina virtual RHEL 8.x con un dominio de Active Directory (AD) para el redireccionamiento de tarjetas inteligentes.

Nota: Los escritorios RHEL 8.x no admiten el redireccionamiento de tarjetas inteligentes ni el inicio de sesión único (SSO) de Active Directory al mismo tiempo. Si configura el redireccionamiento de tarjetas inteligentes en un escritorio RHEL 8.x, el SSO de Active Directory no funcionará.

Algunos ejemplos incluidos en el procedimiento utilizan valores de marcador de posición para representar entidades en su configuración de red, como el nombre de DNS de su dominio de AD. Reemplace los valores de marcador de posición con información específica de su configuración, tal y como se describe en la siguiente tabla.

Valor del marcador de posición Descripción
DIRECCIÓN_IP_dns Dirección IP del servidor de nombres DNS
rhel8sc.domain.com Nombre de host completo de su máquina virtual RHEL 8.x
rhel8sc Nombre de host no completo de su máquina virtual RHEL 8.x
domain.com Nombre DNS de su dominio de AD
DOMAIN.COM Nombre DNS de su dominio de AD, en mayúsculas
DOMINIO Nombre DNS del grupo de trabajo o el dominio NT que incluye su servidor Samba, en mayúsculas
dnsserver.domain.com Nombre de host del servidor de AD

Procedimiento

  1. En la máquina virtual RHEL 8.x, haga lo siguiente.
    1. Configure los ajustes DNS y de red según lo requiera su organización.
    2. Deshabilite IPv6.
    3. Deshabilite DNS automático.
  2. Edite el archivo de configuración /etc/hosts de forma que quede parecido a este ejemplo.
    127.0.0.1        rhel8sc.domain.com rhel8sc localhost localhost.localdomain localhost4 localhost4.localdomain4
    ::1              localhost localhost.localdomain localhost6 localhost6.localdomain6
     
    dns_IP_ADDRESS   dnsserver.domain.com
  3. Edite el archivo de configuración /etc/resolv.conf de forma que quede parecido a este ejemplo.
    # Generated by NetworkManager
    search domain.com
    nameserver dns_IP_ADDRESS
  4. Instale los paquetes necesarios para la integración de AD.
    # yum install -y samba-common-tools oddjob-mkhomedir
  5. Habilite el servicio oddjobd.
    # systemctl enable oddjobd.service
    # systemctl start oddjobd.service
    
  6. Especifique la identidad del sistema y las fuentes de autenticación.
    # authselect select sssd with-smartcard with-mkhomedir
    
    
  7. Inicie el servicio oddjobd.
    # systemctl enable oddjobd.service
    # systemctl start oddjobd.service
    
  8. Para dar soporte a la autenticación de tarjetas inteligentes, cree el archivo /etc/sssd/sssd.conf.
    # touch /etc/sssd/sssd.conf
    # chmod 600 /etc/sssd/sssd.conf
    # chown root:root /etc/sssd/sssd.conf
  9. Añada el contenido necesario a /etc/sssd/sssd.conf, como se muestra en el siguiente ejemplo. En la sección [pam], especifique pam_cert_auth = True.
    [sssd]
    config_file_version = 2
    domains = domain.com
    services = nss, pam, pac
     
    [domain/DOMAIN.COM]
    id_provider = ad
    auth_provider = ad
    chpass_provider = ad
    access_provider = ad
    cache_credentials = true
     
    [pam]
    pam_cert_auth = True
  10. Habilite el servicio sssd.
    # systemctl enable sssd.service
    # systemctl start sssd.service
  11. Edite el archivo de configuración /etc/krb5.conf de forma que quede parecido a este ejemplo.
    # To opt out of the system crypto-policies configuration of krb5, remove the
    # symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
    includedir /etc/krb5.conf.d/
     
    [logging]
        default = FILE:/var/log/krb5libs.log
        kdc = FILE:/var/log/krb5kdc.log
        admin_server = FILE:/var/log/kadmind.log
     
    [libdefaults]
        dns_lookup_realm = false
        ticket_lifetime = 24h
        renew_lifetime = 7d
        forwardable = true
        rdns = false
        pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
        spake_preauth_groups = edwards25519
        default_realm = DOMAIN.COM
        default_ccache_name = KEYRING:persistent:%{uid}
     
    [realms]
     DOMAIN.COM = {
         kdc = dnsserver.domain.com
         admin_server = dnsserver.domain.com
         default_domain = dnsserver.domain.com
         pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
         pkinit_cert_match = <KU>digitalSignature
         pkinit_kdc_hostname = dnsserver.domain.com
     }
     
    [domain_realm]
     .domain.com = DOMAIN.COM
     domain.com = DOMAIN.COM
  12. Edite el archivo de configuración /etc/samba/smb.conf de forma que quede parecido a este ejemplo.
    [global]
            workgroup = DOMAIN
            security = ads
            passdb backend = tdbsam
            printing = cups
            printcap name = cups
            load printers = yes
            cups options = raw
            password server = dnsserver.domain.com
            realm = DOMAIN.COM
            idmap config * : range = 16777216-33554431
            template homedir =/home/DOMAIN/%U
            template shell = /bin/bash
            kerberos method = secrets and keytab
     
    [homes]
            comment = Home Directories
            valid users = %S, %D%w%S
            browseable = No
            read only = No
            inherit acls = Yes
     
    [printers]
            comment = All Printers
            path = /var/tmp
            printable = Yes
            create mask = 0600
            browseable = No
     
    [print$]
            comment = Printer Drivers
            path = /var/lib/samba/drivers
            write list = @printadmin root
            force group = @printadmin
            create mask = 0664
            directory mask = 0775
  13. Únase al dominio de AD, tal y como se muestra en el siguiente ejemplo.
    # net ads join -U AdminUser
    Al ejecutar el comando join, se obtiene un resultado similar al siguiente ejemplo.
    Enter AdminUser's password:
    Using short domain name -- DOMAIN
    Joined 'RHEL8SC' to dns domain 'domain.com'
  14. Compruebe que la máquina virtual RHEL 8.x se unió correctamente al dominio de AD.
    # net ads testjoin
    
    Join is OK

Qué hacer a continuación

Configurar el redireccionamiento de tarjetas inteligentes en una máquina virtual RHEL 8.x