Kerberos-autentiseringsstöd för Unix- och Linux-datorer

System Center Operations Manager version 2019 och senare kommunicerar med UNIX- och Linux-datorer med hjälp av protokollet Secure Shell (SSH) och Web Services for Management (WS-Management). Agentåtgärder som agentinstallation, avinstallation och uppdatering sker via SSH och kräver ett privilegierat konto. Agentidentifiering och övervakning använder WS-Management och kräver bara ett konto med låg behörighet.

Operations Manager kan nu stödja Kerberos-autentisering oavsett var det WS-Management protokollet används av hanteringsservern för att kommunicera med UNIX- och Linux-datorer. Att lägga till Kerberos-stöd för UNIX- och Linux-datorer ger större säkerhet genom att låta hanteringsservern inte längre behöva aktivera grundläggande autentisering för Windows Remote Management (WinRM).

Obs!

Inaktivera inte grundläggande autentisering för WinRM om du inte använder Windows Kerberos-autentisering.

Operations Manager Unix och Linux Kerberos-support per aktivitet

Aktivitet	Protokoll	Stöd för Kerberos
Agent Installera	SSH	Nej
Avinstallera agent	SSH	Nej
Agent Uppdatering	SSH	Nej
Återställning av agenten	SSH	Nej
Agentövervakning	WS-Man	Ja
Agentupptäckt	WS-Man	Ja

Förutsättningar

UNIX- och Linux-övervakning med Operations Manager stöds på många operativsystem.

Följande delmängd av dessa operativsystem stöder nu WS-Management kommunikation via Kerberos: (Endast den senaste versionen av varje distribution stöds.)

Operativsystem	Utgåva
Red Hat Enterprise Linux Server	7
Red Hat Enterprise Linux Server	8
Rocky Linux	8
Alma Linux	8
SLES (Sodium Laureth Sulfate)	12
SLES (Sodium Laureth Sulfate)	15
Debian	9
Debian	10
Debian	11
Oracle Linux	7
Oracle Linux	8
Ubuntu Server	16
Ubuntu Server	18
Ubuntu Server	20

• UNIX- eller Linux-agenten måste vara domänansluten.

• Run As-konton måste konfigureras för att använda domänbaserade konton som är associerade med lämplig Unix/Linux Run As-profil.

• Aktivering av Kerberos-autentisering förutsätter att alla UNIX- och Linux-agenter som kommunicerar med hanteringsservern stöder Kerberos. Autentisering i blandat läge där vissa agenter använder grundläggande autentisering och andra använder Kerberos stöds inte. Använd i stället separata resurspooler och hanteringsservrar för att uppnå detta.

Aktivera eller inaktivera Kerberos-autentisering på en hantering eller en gateway-server

Använd följande procedur för att aktivera/inaktivera Kerberos-autentisering på en hanteringsserver eller en gatewayserver.

1. Öppna driftkonsolen med ett konto som är medlem i rollen Operations Manager-administratörer.

2. Välj Hanteringsserverns tillstånd eller Gatewayserverns tillståndenligt nedan:

   • För Hanteringsservrar väljer du Övervakning>Operations Manager>Hanteringsserver>Hanteringsserverstatus>Hanteringsserverstatus.
   • För Gateway Management-servrar väljer du Övervakning>Operations Manager>Management Server>Management Server State>Gateway Management Server State.

   

3. I det högra åtgärdsfönstret väljer du Aktivera Linux-autentiseringstyp.

   Den här uppgiften aktiverar/inaktiverar Kerberos-autentisering för Linux-övervakning på hanteringsservern eller gatewayservern.

4. Välj Kör.

Obs!

Uppgiften anger registerposten autentisering på följande plats:

HKLM:\Software\Microsoft\Microsoft Operations Manager\3.0\Setup\Linux Auth till Kerberos.

Upprepa stegen ovan på alla hanteringsservrar i UNIX- och Linux-resurspoolen där du vill att Kerberos-autentisering ska ske på SCX-agenterna.

Verifiera Kerberos-autentisering via konsolen

Så här verifierar du att Kerberos-autentiseringen fungerar från Operations Manager-konsolen:

1. Välj Övervakning>UNIX-/Linux-datorer> Välj en UNIX- eller Linux-dator

2. I det högra åtgärdsfönstret väljer du Minnesinformation.

3. Bekräfta att uppgiften körs framgångsrikt.

   

Verifiera Kerberos-autentisering från kommandoraden

Utför följande för att verifiera Kerberos-autentisering mellan en hanteringsserver och en UNIX- eller Linux-agent från kommandoraden:

1. Starta en kommandotolk som administratör från hanteringsservern och kör skriptet nedan medan du ersätter tillämplig information för servernamn, användarnamnoch lösenord.

   winrm e http://schemas.microsoft.com/wbem/wscim/1/cim-schema/2/SCX_Agent?__cimnamespace=root/scx -r:https://<UNIX/Linux servername>:1270 -u:<username@contoso.com> -p:<password> -auth:Kerberos -skipcacheck -skipcncheck -encoding:utf-8
   

2. Kontrollera att utdata anger att kommandot lyckades.