Wprowadzenie do adutil — narzędzie Active Directory

Applies to:SQL Server w systemie Linux

Narzędzie adutil to narzędzie interfejsu wiersza polecenia służące do konfigurowania domen Windows Active Directory i zarządzania nimi dla SQL Server on Linux i kontenerów. Eliminuje to konieczność przełączania się między maszynami Windows i Linux w celu zarządzania Active Directory.

Uwaga / Notatka

Obsługa adutil jest ograniczona do przypadków użycia SQL Server. Możesz również użyć innych narzędzi, takich jak ktpass aby włączyć uwierzytelnianie Active Directory, jak wyjaśniono w Tutorial: użyj uwierzytelniania Active Directory z SQL Server on Linux.

Przed rozpoczęciem upewnij się, że adutil został pobrany na hosta, który jest już dołączony do domeny Active Directory.

Narzędzie adutil jest zaprojektowane jako seria poleceń i poleceń podrzędnych z dodatkowymi flagami określonymi jako dalsze dane wejściowe. Każde polecenie najwyższego poziomu reprezentuje kategorię funkcji administracyjnych. W tej kategorii każda subkomenda jest operacją. W tym artykule przedstawiono sposób pobierania i rozpoczęcia korzystania z adutil.

Konfigurowanie adutil protokołu LDAP za pośrednictwem protokołu Secure Sockets Layer (SSL)

Należy użyć protokołu Lightweight Directory Access Protocol za pośrednictwem protokołu SSL (LDAPS) zamiast protokołu LDAP (Lightweight Directory Access Protocol). Aby uzyskać więcej informacji na temat protokołu LDAP, zobacz Lightweight Directory Access Protocol (LDAP).

Możesz ustawić opcję useLdaps na wartość true w pliku konfiguracji adutil.json. Po uruchomieniu adutil jako użytkownik mssql, plik konfiguracyjny znajduje się w /var/opt/mssql/.adutil/adutil.json. W tym przykładzie kodu JSON pokazano, jak skonfigurować ustawienie:

{
    "useLdaps": "true"
}

Domyślnie useLdaps jest false. Podczas konfigurowania tego ustawienia i użycia mssql-conf do utworzenia keytab (tabeli kluczy), upewnij się, że uruchomisz mssql-conf jako użytkownik mssql. Uruchom następujące polecenie, aby przełączyć się do mssql użytkownika:

sudo su mssql

Aby skonfigurować keytab przy użyciu mssql-conf, zobacz Utwórz plik keytab usługi SQL Server za pomocą mssql-conf.

Zainstaluj produkt adutil

Jeśli nie zaakceptujesz umowy licencyjnej użytkownika końcowego (EULA) podczas instalacji, przy pierwszym uruchomieniu polecenia adutil musisz uruchomić je z flagą --accept-eula (dla wszystkich dystrybucji).

  • Red Hat Enterprise Linux (RHEL)
  • ubuntu
  • SUSE Linux Enterprise Server

  1. Pobierz plik konfiguracji repozytorium Microsoft Red Hat.

    RHEL 10

    sudo curl -o /etc/yum.repos.d/msprod.repo https://packages.microsoft.com/config/rhel/10/prod.repo

    RHEL 9

    sudo curl -o /etc/yum.repos.d/msprod.repo https://packages.microsoft.com/config/rhel/9/prod.repo

    RHEL 8

    sudo curl -o /etc/yum.repos.d/msprod.repo https://packages.microsoft.com/config/rhel/8/prod.repo

  2. Jeśli zainstalowano poprzednią wersję zapoznawczą programu adutil, usuń wszystkie starsze adutil pakiety przy użyciu następującego polecenia.

    sudo yum remove adutil-preview

  3. Aby zainstalować program adutil, uruchom następujące polecenie. ACCEPT_EULA=Y akceptuje EULA dla adutil. Umowa LICENCYJNA znajduje się w lokalizacji /usr/share/adutil/.

    sudo ACCEPT_EULA=Y yum install -y adutil

Zarządzanie Windows Active Directory za pomocą adutil

Aby użyć adutil polecenia, musisz pobrać lub odnowić bilet TGT (bilet przydzielania biletów) protokołu Kerberos przy użyciu polecenia kinit i uprzywilejowanego konta domeny. Konto, którego używasz, musi mieć uprawnienia do tworzenia kont i głównych nazw usług (SPN) w domenie.

W poniższych przykładach przedstawiono niektóre typowe działania, które można wykonać przy użyciu polecenia adutil. Aby wyświetlić listę poleceń najwyższego poziomu, wpisz adutil --help.

adutil --help

Zobaczysz następujące dane wyjściowe:

adutil - A general AD utility
  Usage:
    adutil [account|delegation|group|keytab|machine|ou|spn|user|config]
  Subcommands:
    account      Functions for generic account operations
    delegation   Functions for configuring delegation permissions
    group        Functions for group management
    keytab       Functions for keytab management
    machine      Functions for managing machine accounts
    ou           Functions for managing organizational units
    spn          Functions for service principal name (SPN) management
    user         Functions for user account management
    config       Functions for modifying adutil configuration
  Flags:
       --version       Displays the program version string.
    -h --help          Displays help with available flag, subcommand, and positional value parameters.
    -d --debug         Display additional debugging information when making LDAP/Kerberos calls.
       --accept-eula   Accepts the current EULA for adutil. This has no effect if the EULA has already been accepted.

Aby uzyskać pomoc dotyczącą poleceń niższego poziomu, skorzystaj z następujących przykładów:

  • spn polecenie:

    adutil spn --help

  • spn search polecenie:

    adutil spn search --help

Próbki

Każde polecenie jest udokumentowane, aby od razu rozpocząć pracę. Poniżej przedstawiono niektóre typowe działania, które adutil są używane podczas konfigurowania lub administrowania uwierzytelnianiem Active Directory dla SQL Server on Linux i kontenerów:

  • Utwórz konto w Active Directory:

    adutil user create --name sqluser --distname CN=sqluser,CN=Users,DC=CONTOSO,DC=COM

  • Utwórz nazwy SPN skojarzone z kontem lub usługą:

    adutil spn addauto -n sqluser -s MSSQLSvc -H mymachine.contoso.com -p 1433

  • Twórz keytaby przy użyciu adutil:

    adutil keytab createauto -k /var/opt/mssql/secrets/mssql.keytab -p 1433 -H mymachine.contoso.com --password '<password>' -s MSSQLSvc

    Ostrożność

    Hasło powinno być zgodne z domyślnymi zasadami SQL Server password. Domyślnie hasło musi mieć długość co najmniej ośmiu znaków i zawierać znaki z trzech z następujących czterech zestawów: wielkie litery, małe litery, cyfry podstawowe-10 i symbole. Hasła mogą mieć długość maksymalnie 128 znaków. Używaj haseł, które są tak długie i złożone, jak to możliwe.

Aby uzyskać więcej informacji, zobacz stronę z dokumentacją referencyjną adutil korzystając z polecenia man adutil.

Powiązana zawartość

  • Last updated on