整合 SLED/SLES 虛擬機器與 AD 以進行智慧卡重新導向

若要在 SLED/SLES 桌面平台上支援智慧卡重新導向，請使用 Samba 和 Winbind 解決方案整合基礎虛擬機器 (VM) 與 Active Directory (AD) 網域。

請使用下列程序整合 SLED/SLES 虛擬機器與 AD 網域，以支援智慧卡重新導向。

此程序中的某些範例使用預留位置值來代表您網路組態中的實體，例如 AD 網域的 DNS 名稱。請將預留位置值取代為您的組態特有的資訊，如下表所說明。


預留位置值	說明
dns_IP_ADDRESS	DNS 名稱伺服器的 IP 位址
mydomain.com	AD 網域的 DNS 名稱
MYDOMAIN.COM	AD 網域的 DNS 名稱 (全部使用大寫字母)
MYDOMAIN	包含 Samba 伺服器的工作群組或 NT 網域的 DNS 名稱 (全部使用大寫字母)
ads-hostname	AD 伺服器的主機名稱
ads-hostname.mydomain.com	AD 伺服器的完整網域名稱 (FQDN)
mytimeserver.mycompany.com	NTP 時間伺服器的 DNS 名稱
AdminUser	虛擬機器管理員的使用者名稱

必要條件

確認 SLED/SLES 虛擬機器符合設定 Linux 桌面平台的智慧卡重新導向中所述的系統需求。

程序

設定 SLED/SLES 虛擬機器的網路設定。
1. 藉由編輯 /etc/hostname 和 /etc/hosts 組態檔來定義虛擬機器的主機名稱。
2. 設定 DNS 伺服器 IP 位址，並關閉自動 DNS。對於 SLES 虛擬機器，請一併關閉透過 DHCP 變更主機名稱。
3. 若要設定網路時間同步化，請將您的 NTP 伺服器資訊新增至 /etc/ntp.conf 檔案，如下列範例所示。
```
server mytimeserver.mycompany.com
```

安裝所需的 AD 加入套件。

sudo zypper in krb5-client samba-winbind

更新 krb5 程式庫，如下列範例所示。
```
sudo zypper up krb5
```

編輯所需的組態檔。

編輯 /etc/samba/smb.conf 檔案，如下列範例所示。

[global]
        workgroup = MYDOMAIN
        usershare allow guests = NO
        idmap gid = 10000-20000
        idmap uid = 10000-20000
        kerberos method = secrets and keytab
        realm = MYDOMAIN.COM
        security = ADS
        template homedir = /home/%D/%U
        template shell = /bin/bash
        winbind use default domain=true
        winbind offline logon = yes
        winbind refresh tickets = yes
[homes]
        ...

編輯 /etc/krb5.conf/ 檔案，如下列範例所示。

[libdefaults]
        default_realm = MYDOMAIN.COM
        clockskew = 300 

[realms]
        MYDOMAIN.COM = {
                kdc = ads-hostname.mydomain.com
                default_domain = mydomain.com 
                admin_server = ads-hostname.mydomain.com
        }

[logging]
        kdc = FILE:/var/log/krb5/krb5kdc.log
        admin_server = FILE:/var/log/krb5/kadmind.log
        default = SYSLOG:NOTICE:DAEMON

[domain_realm]
        .mydomain.com = MYDOMAIN.COM
        mydomain.com = MYDOMAIN.COM

[appdefaults]
        pam = {
                ticket_lifetime = 1d
                renew_lifetime = 1d
                forwardable = true
                proxiable = false
                minimum_uid = 1
        }

編輯 /etc/security/pam_winbind.conf 檔案，如下列範例所示。
```
cached_login = yes
krb5_auth = yes
krb5_ccache_type = FILE
```
編輯 /etc/nsswitch.conf 檔案，如下列範例所示。
```
passwd: compat winbind
group: compat winbind
```

加入 AD 網域，如下列範例所示。
```
sudo net ads join -U AdminUser
```
啟用 Winbind 服務。
1. 若要啟用並啟動 Winbind，請執行以下一系列的命令。
```
sudo pam-config --add --winbind
sudo pam-config -a --mkhomedir
sudo systemctl enable winbind
sudo systemctl start winbind
```
2. 若要確定 AD 使用者可直接登入桌面平台而不需重新啟動 Linux 伺服器，請執行以下一系列的命令。
```
sudo systemctl stop nscd
sudo nscd -i passwd
sudo nscd -i group
sudo systemctl start nscd
```
若要確認 AD 加入成功，請執行下列命令，並確認命令傳回正確的輸出。
```
sudo wbinfo -u
sudo wbinfo -g
```

下一步

繼續前往在 SLED/SLES 虛擬機器上設定智慧卡重新導向。