Присоединение виртуальной машины Red Hat Enterprise Linux к управляемому домену доменных служб Microsoft Entra

Чтобы пользователи могли входить в виртуальные машины (виртуальные машины) в Azure с помощью одного набора учетных данных, вы можете присоединить виртуальные машины к управляемому домену доменных служб Microsoft Entra. При присоединении виртуальной машины к управляемому домену доменных служб учетные записи пользователей и учетные данные из домена можно использовать для входа и управления серверами. Также применяются членства в группах из управляемого домена, позволяющие управлять доступом к файлам и службам на виртуальной машине.

В этой статье объясняется, как присоединить виртуальную машину Red Hat Enterprise Linux (RHEL) к управляемому домену.

Необходимые компоненты

Для работы с этим учебником требуются следующие ресурсы и разрешения:

• Активная подписка Azure.
  • Если у вас еще нет подписки Azure, создайте учетную запись.
• Клиент Microsoft Entra, связанный с подпиской, либо синхронизирован с локальным каталогом или облачным каталогом.
  • При необходимости создайте клиент Microsoft Entra или свяжите подписку Azure с вашей учетной записью.
• Управляемый домен доменных служб Microsoft Entra включен и настроен в клиенте Microsoft Entra.
  • При необходимости в первом руководстве создается и настраивается управляемый домен доменных служб Microsoft Entra.
• Учетная запись пользователя, входящая в управляемый домен.
• Уникальные имена виртуальных машин Linux, содержащие не более 15 символов (иначе они будут усечены, что может вызвать конфликты в Active Directory).

Создание виртуальной машины RHEL Linux и подключение к ней

Если у вас есть существующая виртуальная машина RHEL Linux в Azure, подключитесь к ней с помощью SSH, а затем перейдите к следующему шагу, чтобы приступить к настройке виртуальной машины.

Если необходимо создать виртуальную машину RHEL Linux или создать тестовую виртуальную машину для использования в целях этой статьи, можете использовать один из следующих методов:

• Центр администрирования Microsoft Entra
• Azure CLI
• Azure PowerShell

При создании виртуальной машины обратите внимание на параметры виртуальной сети и убедитесь, что виртуальная машина может обмениваться данными с управляемым доменом.

• Разверните виртуальную машину в той же или одноранговой виртуальной сети, в которой включены доменные службы Microsoft Entra.
• Разверните виртуальную машину в другой подсети, отличной от управляемого домена доменных служб Microsoft Entra.

После развертывания виртуальной машины выполните действия по подключению к виртуальной машине с использованием протокола SSH.

Настройка файла hosts

Чтобы убедиться, что имя узла виртуальной машины правильно настроено для управляемого домена, измените файл /etc/hosts и задайте имя узла:

sudo vi /etc/hosts

В файле hosts обновите адрес localhost. В следующем примере :

• aaddscontoso.com — это DNS-имя управляемого домена.
• RHEL — это имя узла виртуальной машины RHEL, присоединяемой к управляемому домену.

Замените эти имена своими значениями:

127.0.0.1 rhel rhel.aaddscontoso.com

По завершении сохраните и закройте файл hosts с помощью команды :wq редактора.

RHEL 6

Важно!

Учитывайте, что Red Hat Enterprise Linux 6.X и Oracle Linux 6.x уже являются EOL. RHEL 6.10 имеет поддержку ELS, которая завершится 06.2024.

Установка необходимых пакетов

Виртуальной машине требуются дополнительные пакеты для присоединения виртуальной машины к управляемому домену. Чтобы установить и настроить эти пакеты, обновите и установите средства присоединение к домену с помощью yum.

sudo yum install adcli sssd authconfig krb5-workstation

Присоединение виртуальной машины к управляемому домену

Теперь, когда необходимые пакеты установлены на виртуальной машине, присоедините ее к управляемому домену.

1. Используйте команду adcli info для обнаружения управляемого домена. В следующем примере обнаруживается область определения приложения ADDDSCONTOSO.COM. Укажите собственное имя управляемого домена В ВЕРХНЕМ РЕГИСТРЕ:

   sudo adcli info aaddscontoso.com
   

   Если команде adcli info не удается найти управляемый домен, попробуйте следующие действия по устранению неполадок:

   • Убедитесь, что домен доступен с виртуальной машины. Попробуйте ping aaddscontoso.com и посмотрите, будет ли возвращен положительный ответ.
   • Убедитесь, что виртуальная машина развернута в той же или в одноранговой виртуальной сети, в которой доступен управляемый домен.
   • Проверьте, обновлены ли параметры DNS-сервера для виртуальной сети — должны быть указаны контроллеры управляемого домена.

2. Сначала присоедините домен с помощью команды adcli join. Эта команда также создает keytab для проверки подлинности машины. Используйте учетную запись пользователя, входящую в управляемый домен.

   sudo adcli join aaddscontoso.com -U contosoadmin
   

3. Теперь настройте /ect/krb5.conf и создайте файлы /etc/sssd/sssd.conf для использования домена Active Directory aaddscontoso.com. Убедитесь, что AADDSCONTOSO.COM заменено на ваше имя домена:

   С помощью редактора откройте файл /etc/krb5.conf.

   sudo vi /etc/krb5.conf
   

   Обновите файл krb5.conf так, чтобы он соответствовал следующему образцу:

   [logging]
    default = FILE:/var/log/krb5libs.log
    kdc = FILE:/var/log/krb5kdc.log
    admin_server = FILE:/var/log/kadmind.log
   
   [libdefaults]
    default_realm = AADDSCONTOSO.COM
    dns_lookup_realm = true
    dns_lookup_kdc = true
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
   
   [realms]
    AADDSCONTOSO.COM = {
    kdc = AADDSCONTOSO.COM
    admin_server = AADDSCONTOSO.COM
    }
   
   [domain_realm]
    .AADDSCONTOSO.COM = AADDSCONTOSO.COM
    AADDSCONTOSO.COM = AADDSCONTOSO.COM
   

   Создайте файл /etc/sssd/sssd.conf:

   sudo vi /etc/sssd/sssd.conf
   

   Обновите файл sssd.conf так, чтобы он соответствовал следующему образцу:

   [sssd]
    services = nss, pam, ssh, autofs
    config_file_version = 2
    domains = AADDSCONTOSO.COM
   
   [domain/AADDSCONTOSO.COM]
   
    id_provider = ad
   

4. Убедитесь, что для разрешений /etc/sssd/sssd.conf указано значение 600 и что они принадлежат корневому пользователю:

   sudo chmod 600 /etc/sssd/sssd.conf
   sudo chown root:root /etc/sssd/sssd.conf
   

5. Используйте authconfig, чтобы предоставить виртуальной машине инструкции об интеграции с Linux в Active Directory:

   sudo authconfig --enablesssd --enablesssd auth --update
   

6. Запустите и включите службу SSSD:

   sudo service sssd start
   sudo chkconfig sssd on
   

Если виртуальная машина не может успешно завершить процесс присоединения к домену, убедитесь, что группа безопасности сети виртуальной машины разрешает исходящий трафик Kerberos для порта TCP + UDP 464 к подсети виртуальной сети для вашего управляемого домена.

Теперь проверьте, можно ли запрашивать сведения об Active Directory для пользователя с помощью getent

sudo getent passwd contosoadmin

Разрешение проверки пароля для SSH

По умолчанию пользователи могут входить в виртуальную машину только с помощью проверки подлинности на основе открытых ключей SSH. Проверку подлинности на основе пароля пройти невозможно. При присоединении виртуальной машины к управляемому домену эти учетные записи домена должны использовать проверку подлинности на основе пароля. Обновите конфигурацию SSH, чтобы разрешить проверку подлинности на основе пароля, как показано ниже.

1. Откройте файл sshd_conf с помощью редактора:

   sudo vi /etc/ssh/sshd_config
   

2. Для строки PasswordAuthentication установите значение yes:

   PasswordAuthentication yes
   

   По завершении сохраните и закройте файл sshd_conf с помощью команды :wq редактора.

3. Чтобы применить изменения и позволить пользователям входить с помощью пароля, перезапустите службу SSH для своей версии дистрибутива RHEL:

   sudo service sshd restart
   

RHEL 7

Установка необходимых пакетов

Виртуальной машине требуются дополнительные пакеты для присоединения виртуальной машины к управляемому домену. Чтобы установить и настроить эти пакеты, обновите и установите средства присоединение к домену с помощью yum.

sudo yum install realmd sssd krb5-workstation krb5-libs oddjob oddjob-mkhomedir samba-common-tools

Присоединение виртуальной машины к управляемому домену

Теперь, когда необходимые пакеты установлены на виртуальной машине, присоедините ее к управляемому домену. Снова выполните соответствующие действия для вашей версии дистрибутива RHEL.

1. Используйте команду realm discover для обнаружения управляемого домена. В следующем примере обнаруживается область определения приложения AADDSCONTOSO.COM. Укажите собственное имя управляемого домена В ВЕРХНЕМ РЕГИСТРЕ:

   sudo realm discover AADDSCONTOSO.COM
   

   Если команде realm discover не удается найти управляемый домен, попробуйте следующие действия по устранению неполадок:

   • Убедитесь, что домен доступен с виртуальной машины. Попробуйте ping aaddscontoso.com и посмотрите, будет ли возвращен положительный ответ.
   • Убедитесь, что виртуальная машина развернута в той же или в одноранговой виртуальной сети, в которой доступен управляемый домен.
   • Проверьте, обновлены ли параметры DNS-сервера для виртуальной сети — должны быть указаны контроллеры управляемого домена.

2. Теперь инициализируйте Kerberos с помощью команды kinit. Укажите пользователя, входящего в управляемый домен. При необходимости добавьте учетную запись пользователя в группу в идентификаторе Microsoft Entra.

   Опять же, имя управляемого домена необходимо вводить ПРОПИСНЫМИ БУКВАМИ. В следующем примере для инициализации Kerberos используется учетная запись с именем contosoadmin@aaddscontoso.com. Введите собственную учетную запись пользователя, входящую в управляемый домен.

   sudo kinit contosoadmin@AADDSCONTOSO.COM
   

3. Наконец, присоедините виртуальную машину к управляемому домену с помощью команды realm join. Используйте ту же учетную запись пользователя, которая входит в управляемый домен, указанный в предыдущей команде kinit, например contosoadmin@AADDSCONTOSO.COM:

   sudo realm join --verbose AADDSCONTOSO.COM -U 'contosoadmin@AADDSCONTOSO.COM'
   

Присоединение виртуальной машины к управляемому домену занимает несколько секунд. В следующем примере выходных данных показано, что виртуальная машина успешно присоединена к управляемому домену:

Successfully enrolled machine in realm

Разрешение проверки пароля для SSH

По умолчанию пользователи могут входить в виртуальную машину только с помощью проверки подлинности на основе открытых ключей SSH. Проверку подлинности на основе пароля пройти невозможно. При присоединении виртуальной машины к управляемому домену эти учетные записи домена должны использовать проверку подлинности на основе пароля. Обновите конфигурацию SSH, чтобы разрешить проверку подлинности на основе пароля, как показано ниже.

1. Откройте файл sshd_conf с помощью редактора:

   sudo vi /etc/ssh/sshd_config
   

2. Для строки PasswordAuthentication установите значение yes:

   PasswordAuthentication yes
   

   По завершении сохраните и закройте файл sshd_conf с помощью команды :wq редактора.

3. Чтобы применить изменения и разрешить пользователям входить с помощью пароля, перезапустите службу SSH.

   sudo systemctl restart sshd
   

Предоставление привилегий суперпользователя группе "Администраторы контроллера домена AAD"

Чтобы предоставить членам группы администраторов контроллера домена AAD права администратора на виртуальной машине RHEL, добавьте запись в /etc/sudoers. После добавления члены группы администраторов контроллера домена AAD могут использовать команду sudo на виртуальной машине RHEL.

1. Откройте файл sudoers для редактирования:

   sudo visudo
   

2. Добавьте следующую запись в конец файла /etc/sudoers. Группа администраторов контроллера домена AAD содержит пробелы в имени, поэтому включите escape-символ обратной косой черты в имя группы. Добавьте собственное доменное имя, например aaddscontoso.com:

   # Add 'AAD DC Administrators' group members as admins.
   %AAD\ DC\ Administrators@aaddscontoso.com ALL=(ALL) NOPASSWD:ALL
   

   По завершении сохраните и закройте редактор с помощью команды :wq редактора.

Вход в виртуальную машину с помощью учетной записи домена

Чтобы убедиться, что виртуальная машина успешно присоединена к управляемому домену, запустите новое SSH-подключение, используя учетную запись пользователя домена. Убедитесь, что был создан корневой каталог и применяется членство в группе из домена.

1. Создайте новое SSH-подключение с консоли. Используйте учетную запись домена, принадлежащую к управляемому домену, с помощью команды ssh -l, например contosoadmin@aaddscontoso.com, и введите адрес виртуальной машины, например rhel.aaddscontoso.com. При использовании Azure Cloud Shell используйте общедоступный IP-адрес виртуальной машины, а не внутреннее DNS-имя.

   ssh -l contosoadmin@AADDSCONTOSO.com rhel.aaddscontoso.com
   

2. После успешного подключения к виртуальной машине убедитесь, что корневой каталог был инициализирован правильно:

   pwd
   

   Вы должны находиться в каталоге /home с собственным каталогом, совпадающим с учетной записью пользователя.

3. Теперь убедитесь, что членство в группе разрешается правильно:

   id
   

   Вы должны видеть свое членство в группе из управляемого домена.

4. Если вы вошли в виртуальную машину в качестве члена группы администраторов контроллера домена AAD, убедитесь, что вы можете правильно использовать команду sudo:

   sudo yum update
   

Следующие шаги

Если при подключении виртуальной машины к управляемому домену или при входе с помощью учетной записи домена возникли проблемы, см. статью Устранение неполадок при присоединении к домену.