Share via

Een virtuele Ubuntu Linux-machine toevoegen aan een door Microsoft Entra Domain Services beheerd domein

  • Artikel

Als u wilt dat gebruikers zich met één set referenties kunnen aanmelden bij virtuele machines (VM's) in Azure, kunt u VM's toevoegen aan een door Microsoft Entra Domain Services beheerd domein. Wanneer u een VIRTUELE machine koppelt aan een beheerd domein van Domain Services, kunnen gebruikersaccounts en referenties van het domein worden gebruikt om zich aan te melden en servers te beheren. Groepslidmaatschappen van het beheerde domein worden ook toegepast, zodat u de toegang tot bestanden of services op de virtuele machine kunt beheren.

In dit artikel leest u hoe u een Ubuntu Linux-VM koppelt aan een beheerd domein.

Vereisten

Voor het voltooien van deze zelfstudie hebt u de volgende resources en machtigingen nodig:

Een Ubuntu Linux-VM maken en er verbinding mee maken

Als u een bestaande Ubuntu Linux-VM in Azure hebt, maakt u er verbinding mee met behulp van SSH en gaat u verder met de volgende stap om de VIRTUELE machine te configureren.

Als u een Ubuntu Linux-VM wilt maken of een test-VM wilt maken voor gebruik met dit artikel, kunt u een van de volgende methoden gebruiken:

Let bij het maken van de VIRTUELE machine op de instellingen van het virtuele netwerk om ervoor te zorgen dat de virtuele machine kan communiceren met het beheerde domein:

  • Implementeer de virtuele machine in hetzelfde of een gekoppeld virtueel netwerk waarin u Microsoft Entra Domain Services hebt ingeschakeld.
  • Implementeer de VM in een ander subnet dan uw door Microsoft Entra Domain Services beheerde domein.

Zodra de VM is geïmplementeerd, volgt u de stappen om verbinding te maken met de VIRTUELE machine met behulp van SSH.

Het hosts-bestand configureren

Als u ervoor wilt zorgen dat de hostnaam van de VIRTUELE machine juist is geconfigureerd voor het beheerde domein, bewerkt u het bestand /etc/hosts en stelt u de hostnaam in:

sudo vi /etc/hosts

Werk in het hosts-bestand het localhost-adres bij. In het volgende voorbeeld:

  • aaddscontoso.com is de DNS-domeinnaam van uw beheerde domein.
  • ubuntu is de hostnaam van uw Ubuntu-VM die u toevoegt aan het beheerde domein.

Werk deze namen bij met uw eigen waarden:

127.0.0.1 ubuntu.aaddscontoso.com ubuntu

Wanneer u klaar bent, slaat u het hosts-bestand op en sluit u het af met behulp van de :wq opdracht van de editor.

De vereiste pakketten installeren

De VIRTUELE machine heeft extra pakketten nodig om de VIRTUELE machine aan het beheerde domein toe te voegen. Als u deze pakketten wilt installeren en configureren, moet u de hulpprogramma's voor domeindeelname bijwerken en installeren met behulp van apt-get

Tijdens de Kerberos-installatie vraagt het krb5-gebruikerspakket om de realmnaam in HOOFDLETTERS. Als de naam van uw beheerde domein bijvoorbeeld is aaddscontoso.com, voert u AADDSCONTOSO.COM in als de realm. De installatie schrijft de [realm] en [domain_realm] secties in het configuratiebestand /etc/krb5.conf . Zorg ervoor dat u de realm opgeeft met ALLE HOOFDLETTERS:

sudo apt-get update
sudo apt-get install krb5-user samba sssd sssd-tools libnss-sss libpam-sss ntp ntpdate realmd adcli

Network Time Protocol (NTP) configureren

Voor een correcte werking van domeincommunicatie moet de datum en tijd van uw Ubuntu-VM worden gesynchroniseerd met het beheerde domein. Voeg de NTP-hostnaam van uw beheerde domein toe aan het bestand /etc/ntp.conf .

  1. Open het bestand ntp.conf met een editor:

    sudo vi /etc/ntp.conf

  2. Maak in het bestand ntp.conf een regel om de DNS-naam van uw beheerde domein toe te voegen. In het volgende voorbeeld wordt een vermelding voor aaddscontoso.com toegevoegd. Gebruik uw eigen DNS-naam:

    server aaddscontoso.com

    Wanneer u klaar bent, slaat u het bestand ntp.conf op en sluit u het af met behulp van de :wq opdracht van de editor.

  3. Om ervoor te zorgen dat de VIRTUELE machine wordt gesynchroniseerd met het beheerde domein, zijn de volgende stappen nodig:

    • De NTP-server stoppen
    • De datum en tijd van het beheerde domein bijwerken
    • De NTP-service starten

    Voer de volgende opdrachten uit om deze stappen uit te voeren. Gebruik uw eigen DNS-naam met de ntpdate opdracht:

    sudo systemctl stop ntp
sudo ntpdate aaddscontoso.com
sudo systemctl start ntp

VM toevoegen aan het beheerde domein

Nu de vereiste pakketten op de VM zijn geïnstalleerd en NTP is geconfigureerd, voegt u de VM toe aan het beheerde domein.

  1. Gebruik de realm discover opdracht om het beheerde domein te detecteren. In het volgende voorbeeld wordt de realm AADDSCONTOSO.COM gedetecteerd. Geef uw eigen beheerde domeinnaam op in HOOFDLETTERS:

    sudo realm discover AADDSCONTOSO.COM

    Als de realm discover opdracht uw beheerde domein niet kan vinden, raadpleegt u de volgende stappen voor probleemoplossing:

    • Zorg ervoor dat het domein bereikbaar is vanaf de VIRTUELE machine. Probeer ping aaddscontoso.com te zien of er een positief antwoord wordt geretourneerd.
    • Controleer of de virtuele machine is geïmplementeerd in hetzelfde of een gekoppeld virtueel netwerk waarin het beheerde domein beschikbaar is.
    • Controleer of de DNS-serverinstellingen voor het virtuele netwerk zijn bijgewerkt om te verwijzen naar de domeincontrollers van het beheerde domein.

  2. Initialiseer Nu Kerberos met behulp van de kinit opdracht. Geef een gebruiker op die deel uitmaakt van het beheerde domein. Voeg indien nodig een gebruikersaccount toe aan een groep in Microsoft Entra-id.

    Ook hier moet de naam van het beheerde domein worden ingevoerd in HOOFDLETTERS. In het volgende voorbeeld wordt het account met de naam contosoadmin@aaddscontoso.com gebruikt om Kerberos te initialiseren. Voer uw eigen gebruikersaccount in dat deel uitmaakt van het beheerde domein:

    sudo kinit -V contosoadmin@AADDSCONTOSO.COM

  3. Ten slotte voegt u de VIRTUELE machine toe aan het beheerde domein met behulp van de realm join opdracht. Gebruik hetzelfde gebruikersaccount dat deel uitmaakt van het beheerde domein dat u in de vorige kinit opdracht hebt opgegeven, zoals contosoadmin@AADDSCONTOSO.COM:

    sudo realm join --verbose AADDSCONTOSO.COM -U 'contosoadmin@AADDSCONTOSO.COM' --install=/

Het duurt even voordat de VIRTUELE machine is gekoppeld aan het beheerde domein. In de volgende voorbeelduitvoer ziet u dat de VM is gekoppeld aan het beheerde domein:

Successfully enrolled machine in realm

Als uw VM het proces voor domeindeelname niet kan voltooien, moet u ervoor zorgen dat de netwerkbeveiligingsgroep van de virtuele machine uitgaand Kerberos-verkeer op TCP + UDP-poort 464 toestaat naar het subnet van het virtuele netwerk voor uw beheerde domein.

Als u de fout Niet-opgegeven GSS-fout hebt ontvangen. Secundaire code biedt mogelijk meer informatie (Server niet gevonden in Kerberos-database), open het bestand /etc/krb5.conf en voeg de volgende code toe in [libdefaults] de sectie en probeer het opnieuw:

rdns=false

De SSSD-configuratie bijwerken

Een van de pakketten die in een vorige stap zijn geïnstalleerd, was voor System Security Services Daemon (SSSD). Wanneer een gebruiker zich probeert aan te melden bij een virtuele machine met behulp van domeinreferenties, stuurt SSD de aanvraag door naar een verificatieprovider. In dit scenario gebruikt SSSD Domain Services om de aanvraag te verifiëren.

  1. Open het bestand sssd.conf met een editor:

    sudo vi /etc/sssd/sssd.conf

  2. Markeer de regel voor use_fully_qualified_names als volgt:

    # use_fully_qualified_names = True

    Wanneer u klaar bent, slaat u het bestand sssd.conf op en sluit u het af met behulp van de :wq opdracht van de editor.

  3. Start de SSSD-service opnieuw om de wijziging toe te passen:

    sudo systemctl restart sssd

Gebruikersaccount- en groepsinstellingen configureren

Wanneer de VM is toegevoegd aan het beheerde domein en is geconfigureerd voor verificatie, zijn er enkele configuratieopties voor gebruikers. Deze configuratiewijzigingen omvatten het toestaan van verificatie op basis van wachtwoorden en het automatisch maken van basismappen op de lokale VM wanneer domeingebruikers zich voor het eerst aanmelden.

Wachtwoordverificatie voor SSH toestaan

Standaard kunnen gebruikers zich alleen aanmelden bij een virtuele machine met behulp van verificatie op basis van openbare SSH-sleutels. Verificatie op basis van een wachtwoord mislukt. Wanneer u de VIRTUELE machine aan een beheerd domein koppelt, moeten deze domeinaccounts verificatie op basis van wachtwoorden gebruiken. Werk de SSH-configuratie als volgt bij om verificatie op basis van een wachtwoord toe te staan.

  1. Open het sshd_conf bestand met een editor:

    sudo vi /etc/ssh/sshd_config

  2. Werk de regel voor PasswordAuthentication bij naar ja:

    PasswordAuthentication yes

    Wanneer u klaar bent, slaat u het sshd_conf bestand op en sluit u het af met behulp van de :wq opdracht van de editor.

  3. Als u de wijzigingen wilt toepassen en gebruikers zich wilt laten aanmelden met een wachtwoord, start u de SSH-service opnieuw op:

    sudo systemctl restart ssh

Automatisch maken van basismap configureren

Voer de volgende stappen uit om het automatisch maken van de basismap in te schakelen wanneer een gebruiker zich voor het eerst aanmeldt:

  1. Open het /etc/pam.d/common-session bestand in een editor:

    sudo vi /etc/pam.d/common-session

  2. Voeg de volgende regel toe aan dit bestand onder de regel session optional pam_sss.so:

    session required pam_mkhomedir.so skel=/etc/skel/ umask=0077

    Wanneer u klaar bent, slaat u het bestand met algemene sessies op en sluit u het af met behulp van de :wq opdracht van de editor.

De groep sudo-bevoegdheden 'AAD DC Beheer istrators' verlenen

Als u leden van de AAD DC-Beheer beheerders beheerdersbevoegdheden wilt verlenen op de Ubuntu-VM, voegt u een vermelding toe aan de /etc/sudoers. Zodra ze zijn toegevoegd, kunnen leden van de groep AAD DC Beheer istrators de sudo opdracht op de Ubuntu-VM gebruiken.

  1. Open het sudoers-bestand voor bewerken:

    sudo visudo

  2. Voeg de volgende vermelding toe aan het einde van /etc/sudoers-bestand :

    # Add 'AAD DC Administrators' group members as admins.
%AAD\ DC\ Administrators ALL=(ALL) NOPASSWD:ALL

    Wanneer u klaar bent, slaat u de editor op en sluit u deze af met behulp van de Ctrl-X opdracht.

Aanmelden bij de VIRTUELE machine met behulp van een domeinaccount

Als u wilt controleren of de VIRTUELE machine is gekoppeld aan het beheerde domein, start u een nieuwe SSH-verbinding met behulp van een domeingebruikersaccount. Controleer of er een basismap is gemaakt en of het groepslidmaatschap van het domein is toegepast.

  1. Maak een nieuwe SSH-verbinding vanuit uw console. Gebruik een domeinaccount dat deel uitmaakt van het beheerde domein met behulp van de ssh -l opdracht, zoals contosoadmin@aaddscontoso.com het adres van uw VIRTUELE machine, zoals ubuntu.aaddscontoso.com. Als u Azure Cloud Shell gebruikt, gebruikt u het openbare IP-adres van de VIRTUELE machine in plaats van de interne DNS-naam.

    sudo ssh -l contosoadmin@AADDSCONTOSO.com ubuntu.aaddscontoso.com

  2. Wanneer u verbinding hebt gemaakt met de virtuele machine, controleert u of de basismap correct is geïnitialiseerd:

    sudo pwd

    U moet zich in de /home directory bevinden met uw eigen directory die overeenkomt met het gebruikersaccount.

  3. Controleer nu of de groepslidmaatschappen correct worden omgezet:

    sudo id

    Als het goed is, ziet u uw groepslidmaatschappen uit het beheerde domein.

  4. Als u zich als lid van de groep AAD DC Beheer istrators hebt aangemeld bij de virtuele machine, controleert u of u de sudo opdracht correct kunt gebruiken:

    sudo apt-get update

Volgende stappen

Zie Problemen met domeindeelname oplossen als u problemen ondervindt met het verbinden van de virtuele machine met het beheerde domein of aanmelden met een domeinaccount.