Configurer la jonction de domaine hors ligne SSSD pour les postes de travail Linux

La méthode d'authentification SSSD (System Security Services Daemon) est l'une des solutions prises en charge pour effectuer une jonction de domaine hors ligne sur une machine virtuelle (VM) Linux Instant Clone.

L'authentification SSSD (System Security Services Daemon) prend en charge la jonction de domaine hors connexion avec Active Directory pour les postes de travail d'Instant Clone exécutant les distributions Linux suivantes.

• Ubuntu 20.04/22.04
• Debian 10.x/11.x/12.x
• RHEL 7.9/8.x/9.x
• Rocky Linux 8.x/9.x
• CentOS 7.9
• SLED/SLES 15.x

Utilisez les directives décrites dans la procédure suivante pour effectuer la jonction de domaine hors ligne d'une VM Linux Instant Clone dans Active Directory (AD) à l'aide de l'authentification SSSD.

Procédure

1. Sur la VM Linux d'image standard, effectuez la jonction de domaine à l'aide de l'authentification SSSD. Assurez-vous que l'image standard utilise le même domaine que les Instant Clones.
   Pour obtenir des instructions détaillées sur la jonction de domaine, reportez-vous à la documentation de votre distribution Linux.

   • (Ubuntu) Accédez à https://ubuntu.com/server/docs et recherchez des informations relatives à SSSD et Active Directory.
   • (RHEL/CentOS) Accédez au portail client Red Hat et recherchez la page de documentation de votre version. Par exemple, vous trouverez de la documentation en anglais sur https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/.
     • Pour RHEL 9.x, recherchez le document « Configuration de l'authentification et de l'autorisation dans RHEL » et recherchez les informations relatives à SSSD.
     • Pour RHEL 8.x, recherchez le document « Intégration directe de systèmes RHEL à Windows Active Directory » et recherchez des informations relatives à la connexion directe des systèmes RHEL à AD à l'aide de SSSD.
     • Pour RHEL/CentOS 7.x, recherchez le « Guide d'intégration Windows » et recherchez des informations relatives à la détection et à jonction de domaines d'identité.
   • (Rocky Linux) Accédez au portail de documentation de Rocky Linux à l'adresse https://docs.rockylinux.org/ et recherchez des informations relatives à SSSD.
   • (SLED/SLES) Accédez au portail de documentation SUSE à l'adresse https://documentation.suse.com/ et recherchez des informations relatives à l'intégration d'environnements Linux et Active Directory.
2. Installez les bibliothèques de prise en charge de krb5.
   • (Ubuntu) Exécutez la commande suivante.

     sudo apt-get install krb5-user

   • (RHEL/CentOS et Rocky Linux) Exécutez la commande suivante.

     sudo yum install krb5-workstation

   • (SLED/SLES) Exécutez la séquence de commandes suivante.

     sudo zypper install krb5-client
     sudo ln -s /usr/lib/mit/bin/ktutil /usr/bin/ktutil
     sudo ln -s /usr/lib/mit/bin/kvno /usr/bin/kvno

3. Installez Horizon Agent for Linux, comme décrit dans la section Installer Horizon Agent sur une machine virtuelle Linux.
4. Modifiez le fichier de configuration /etc/sssd/sssd.conf, en utilisant l'exemple suivant comme référence.
   Remplacez les valeurs d'espace réservé dans l'exemple par des informations spécifiques à votre configuration :

   • Remplacez mydomain.com par le nom DNS de votre domaine AD.
   • Remplacez MYDOMAIN.COM par le nom DNS de votre domaine AD, en majuscules

   [sssd]
   domains = mydomain.com
   config_file_version = 2
   services = nss, pam
    
   [domain/mydomain.com]
   ad_domain = mydomain.com
   krb5_realm = MYDOMAIN.COM
   realmd_tags = manages-system joined-with-adcli
   cache_credentials = True
   id_provider = ad
   krb5_store_password_if_offline = True
   default_shell = /bin/bash
   ldap_id_mapping = True
   use_fully_qualified_names = False        #Use short name for user
   fallback_homedir = /home/%u@%d
   access_provider = ad
   ad_gpo_map_interactive = +gdm-vmwcred    #Add this line for SSO
   ad_gpo_access_control = permissive       #Deactivate GPO access control in the cloned VM

5. (RHEL/CentOS 7.x) Modifiez le fichier de configuration /etc/krb5.conf pour utiliser uniquement l'algorithme de chiffrement rc4-hmac.
   Il s'agit du seul algorithme de chiffrement pris en charge lors de l'utilisation de l'authentification SSSD pour joindre à un domaine une VM RHEL/CentOS 7.x d'Instant Clone.

   [libdefaults]
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
    default_realm = MYDOMAIN.COM
    default_ccache_name = KEYRING:persistent:%{uid}
    default_tkt_enctypes = rc4-hmac       #Add this line to use rc4-hmac encryption only
    default_tgs_enctypes = rc4-hmac       #Add this line to use rc4-hmac encryption only

6. Pour vous assurer qu'Horizon Agent reconnaît la VM Linux comme jointe au domaine à l'aide de l'authentification SSSD, ajoutez la ligne suivante au fichier de configuration /etc/vmware/viewagent-custom.conf.

   OfflineJoinDomain=sssd

7. Redémarrez la VM Linux d'image standard et prenez un snapshot de la VM dans vCenter Server.