若要在 SLED/SLES 桌面平台上支援智慧卡重新導向,請使用 Samba 和 Winbind 解決方案整合基礎虛擬機器 (VM) 與 Active Directory (AD) 網域。

請使用下列程序整合 SLED/SLES 虛擬機器與 AD 網域,以支援智慧卡重新導向。

此程序中的某些範例使用預留位置值來代表您網路組態中的實體,例如 AD 網域的 DNS 名稱。請將預留位置值取代為您的組態特有的資訊,如下表所說明。

預留位置值 說明
dns_IP_ADDRESS DNS 名稱伺服器的 IP 位址
mydomain.com AD 網域的 DNS 名稱
MYDOMAIN.COM AD 網域的 DNS 名稱 (全部使用大寫字母)
MYDOMAIN 包含 Samba 伺服器的工作群組或 NT 網域的 DNS 名稱 (全部使用大寫字母)
ads-hostname AD 伺服器的主機名稱
ads-hostname.mydomain.com AD 伺服器的完整網域名稱 (FQDN)
mytimeserver.mycompany.com NTP 時間伺服器的 DNS 名稱
AdminUser 虛擬機器管理員的使用者名稱

必要條件

確認 SLED/SLES 虛擬機器符合 設定智慧卡重新導向中所述的系統需求。

程序

  1. 設定 SLED/SLES 虛擬機器的網路設定。
    1. 藉由編輯 /etc/hostname/etc/hosts 組態檔來定義虛擬機器的主機名稱。
    2. 設定 DNS 伺服器 IP 位址,並停用自動 DNS。對於 SLES 虛擬機器,請一併停用透過 DHCP 變更主機名稱
    3. 若要設定網路時間同步化,請將您的 NTP 伺服器資訊新增至 /etc/ntp.conf 檔案,如下列範例所示。
      server mytimeserver.mycompany.com
  2. 安裝所需的 AD 加入套件。
    zypper in krb5-client samba-winbind
  3. 更新 krb5 程式庫,如下列範例所示。
    zypper up krb5
  4. 編輯所需的組態檔。
    1. 編輯 /etc/samba/smb.conf 檔案,如下列範例所示。
      [global]
              workgroup = MYDOMAIN
              usershare allow guests = NO
              idmap gid = 10000-20000
              idmap uid = 10000-20000
              kerberos method = secrets and keytab
              realm = MYDOMAIN.COM
              security = ADS
              template homedir = /home/%D/%U
              template shell = /bin/bash
              winbind use default domain=true
              winbind offline logon = yes
              winbind refresh tickets = yes
      [homes]
              ...
    2. 編輯 /etc/krb5.conf/ 檔案,如下列範例所示。
      [libdefaults]
              default_realm = MYDOMAIN.COM
              clockskew = 300 
      
      [realms]
              MYDOMAIN.COM = {
                      kdc = ads-hostname.mydomain.com
                      default_domain = mydomain.com 
                      admin_server = ads-hostname.mydomain.com
              }
      
      [logging]
              kdc = FILE:/var/log/krb5/krb5kdc.log
              admin_server = FILE:/var/log/krb5/kadmind.log
              default = SYSLOG:NOTICE:DAEMON
      
      [domain_realm]
              .mydomain.com = MYDOMAIN.COM
              mydomain.com = MYDOMAIN.COM
      
      [appdefaults]
              pam = {
                      ticket_lifetime = 1d
                      renew_lifetime = 1d
                      forwardable = true
                      proxiable = false
                      minimum_uid = 1
              }
    3. 編輯 /etc/security/pam_winbind.conf 檔案,如下列範例所示。
      cached_login = yes
      krb5_auth = yes
      krb5_ccache_type = FILE
    4. 編輯 /etc/nsswitch.conf 檔案,如下列範例所示。
      passwd: compat winbind
      group: compat winbind
  5. 加入 AD 網域,如下列範例所示。
    net ads join -U AdminUser
  6. 啟用 Winbind 服務。
    1. 若要啟用並啟動 Winbind,請執行以下一系列的命令。
      pam-config --add --winbind
      pam-config -a --mkhomedir
      systemctl enable winbind
      systemctl start winbind
    2. 若要確定 AD 使用者可直接登入桌面平台而不需重新啟動 Linux 伺服器,請執行以下一系列的命令。
      systemctl stop nscd
      nscd -i passwd
      nscd -i group
      systemctl start nscd
  7. 若要確認 AD 加入成功,請執行下列命令,並確認命令傳回正確的輸出。
    wbinfo -u
    wbinfo -g

下一步

繼續前往在 SLED/SLES 虛擬機器上設定智慧卡重新導向