将 Ubuntu Linux 虚拟机加入到 Microsoft Entra 域服务托管域

项目
10/23/2023

若要让用户使用一组凭据登录到 Azure 中的虚拟机 (VM)，可以将 VM 加入到 Microsoft Entra 域服务托管域。将 VM 加入到域服务托管域时，可以使用域中的用户帐户和凭据来登录和管理服务器。托管域中的组成员身份也应用于控制对 VM 上的文件或服务的访问。

本文介绍如何将 Ubuntu Linux VM 加入托管域。

先决条件

需有以下资源和特权才能完成本教程：

一个有效的 Azure 订阅。
- 如果你没有 Azure 订阅，请创建一个帐户。
与订阅关联的 Microsoft Entra 租户，可以与本地目录或仅限云的目录同步。
- 如果需要，请创建一个 Microsoft Entra 租户或将 Azure 订阅关联到你的帐户。
在 Microsoft Entra 租户中启用和配置的 Microsoft Entra 域服务托管域。
- 如果需要，请参考第一篇教程创建并配置 Microsoft Entra 域服务托管域。
属于托管域的用户帐户。请确保未自动生成用户的 SAMAccountName 属性。如果 Microsoft Entra 租户中的多个用户帐户具有相同的 mailNickname 属性，则系统会为每个用户生成 SAMAccountName 属性。有关详细信息，请参阅如何在 Microsoft Entra 域服务托管域中同步对象和凭据。
唯一的 Linux VM 名称，最大长度为 15 个字符，可避免名称被截断，截断的名称可能会在 Active Directory 中导致冲突。

创建并连接到 Ubuntu Linux VM

如果 Azure 中有现有的 Ubuntu Linux VM，请使用 SSH 连接到该 VM，然后继续执行下一步，开始配置 VM。

如果需要创建 Ubuntu Linux VM，或者想要创建一个用于本文的测试 VM，可以使用以下方法之一：

创建 VM 时，请注意虚拟网络设置，确保 VM 可以与托管域通信：

将该 VM 部署到已启用 Microsoft Entra 域服务的虚拟网络或对等互连的虚拟网络。
将 VM 部署到与 Microsoft Entra 域服务托管域不同的子网中。

部署 VM 后，请遵循使用 SSH 连接到 VM 的步骤。

配置主机文件

若要确保为托管域正确配置了 VM 主机名，请编辑“/etc/hosts”文件，并设置主机名：

sudo vi /etc/hosts

在 hosts 文件中，更新 localhost 地址。在以下示例中：

aaddscontoso.com 是托管域的 DNS 域名。
“ubuntu”是你要加入到托管域的 Ubuntu VM 的主机名。

将以下名称更新为你自己的值：

127.0.0.1 ubuntu.aaddscontoso.com ubuntu

完成后，使用编辑器的 :wq 命令保存并退出 hosts 文件。

安装所需程序包

VM 需要其他一些包才能将 VM 加入托管域。若要安装和配置这些包，请使用 apt-get 更新和安装域加入工具

在 Kerberos 安装过程中，“krb5-user”包会提示你以全部大写的形式输入领域名称。例如，如果托管域的名称为“aaddscontoso.com”，请输入“AADDSCONTOSO.COM”作为领域。安装会将 [realm] 和 [domain_realm] 部分写入“/etc/krb5.conf”配置文件。请确保以全部大写的形式指定领域：

sudo apt-get update
sudo apt-get install krb5-user samba sssd sssd-tools libnss-sss libpam-sss ntp ntpdate realmd adcli

配置网络时间协议 (NTP)

为了使域通信正常工作，Ubuntu VM 的日期和时间必须与托管域同步。将托管域的 NTP 主机名添加到“/etc/ntp.conf”文件。

使用编辑器打开“ntp.conf”文件：
```
sudo vi /etc/ntp.conf
```
在“ntp.conf”文件中，创建一个行以添加托管域的 DNS 名称。在下面的示例中，添加了“aaddscontoso.com”的条目。使用自己的 DNS 名称：
```
server aaddscontoso.com
```
完成后，使用编辑器的 :wq 命令保存并退出“ntp.conf”文件。
若要确保 VM 与托管域同步，需要执行以下步骤：
- 停止 NTP 服务器
- 更新托管域中的日期和时间
- 启动 NTP 服务
运行以下命令来完成这些步骤。通过 ntpdate 命令使用自己的 DNS 名称：
```
sudo systemctl stop ntp
sudo ntpdate aaddscontoso.com
sudo systemctl start ntp
```

将 VM 加入托管域

现已在 VM 上安装所需包并配置 NTP，请将 VM 加入托管域。

使用 realm discover 命令发现托管域。以下示例发现领域 AADDSCONTOSO.COM。以全部大写的形式指定你自己的托管域名：
```
sudo realm discover AADDSCONTOSO.COM
```
如果 realm discover 命令找不到托管域，请查看以下故障排除步骤：
- 确保可从该 VM 中访问域。尝试使用 ping aaddscontoso.com 查看是否返回肯定答复。
- 检查 VM 是否已部署到提供托管域的虚拟网络或与其对等互连的虚拟网络。
- 确认已将虚拟网络的 DNS 服务器设置更新为指向托管域的域控制器。
现在使用 kinit 命令初始化 Kerberos。指定属于托管域的用户。必要时将用户帐户添加到 Microsoft Entra ID 中的组。

同样，必须以全部大写的形式输入托管域名。在以下示例中，名为 contosoadmin@aaddscontoso.com 的帐户用于初始化 Kerberos。输入你自己的属于托管域的用户帐户：
```
sudo kinit -V contosoadmin@AADDSCONTOSO.COM
```
最后，使用 realm join 命令将 VM 加入托管域。使用属于在前面的 kinit 命令中指定的托管域的相同用户帐户，例如 contosoadmin@AADDSCONTOSO.COM：
```
sudo realm join --verbose AADDSCONTOSO.COM -U 'contosoadmin@AADDSCONTOSO.COM' --install=/
```

将 VM 加入托管域需要一点时间。以下示例输出显示 VM 已成功加入托管域：

Successfully enrolled machine in realm

如果 VM 无法成功完成域加入过程，请确保 VM 的网络安全组允许将 TCP + UDP 端口 464 上的出站 Kerberos 流量发送到托管域的虚拟网络子网。

如果收到错误“未指明的 GSS 失败。次要代码可能提供更多信息(Kerberos 数据库中找不到服务器)，请打开 /etc/krb5.conf 文件，并在 [libdefaults] 部分中添加以下代码，然后重试：

rdns=false

更新 SSSD 配置

上一个步骤中安装的其中一个包用于系统安全服务守护程序 (SSSD)。当用户尝试使用域凭据登录到 VM 时，SSSD 会将请求中继到身份验证提供程序。在此方案中，SSSD 使用域服务对请求进行验证。

使用编辑器打开“sssd.conf”文件：
```
sudo vi /etc/sssd/sssd.conf
```
注释掉“use_fully_qualified_names”的行，如下所示：
```
# use_fully_qualified_names = True
```
完成后，使用编辑器的 :wq 命令保存并退出“sssd.conf”文件。
若要应用更改，请重新启动 SSSD 服务：
```
sudo systemctl restart sssd
```

配置用户帐户和组设置

将 VM 加入托管域并针对身份验证进行配置后，需要完成一些用户配置选项。这些配置更改包括允许基于密码的身份验证，以及在域用户首次登录时在本地 VM 上自动创建主目录。

允许对 SSH 进行密码身份验证

默认情况下，用户只能使用基于 SSH 公钥的身份验证登录到 VM。基于密码的身份验证失败。将 VM 加入托管域时，这些域帐户需要使用基于密码的身份验证。更新 SSH 配置，以允许基于密码的身份验证，如下所示。

使用编辑器打开 sshd_conf 文件：
```
sudo vi /etc/ssh/sshd_config
```
将 PasswordAuthentication 的行更新为 yes ：
```
PasswordAuthentication yes
```
完成后，使用编辑器的 :wq 命令保存并退出 sshd_conf 文件。
若要应用更改并让用户使用密码登录，请重新启动 SSH 服务：
```
sudo systemctl restart ssh
```

配置自动主目录创建

若要允许在用户首次登录时自动创建主目录，请完成以下步骤：

在编辑器中打开 /etc/pam.d/common-session 文件：
```
sudo vi /etc/pam.d/common-session
```
在此文件中的 session optional pam_sss.so 行之下添加以下行：
```
session required pam_mkhomedir.so skel=/etc/skel/ umask=0077
```
完成后，使用编辑器的 :wq 命令保存并退出“common-session”文件。

为“AAD DC 管理员”组授予 sudo 特权

若要授予“AAD DC Administrators”组成员对 Ubuntu VM 的管理特权，请向“/etc/sudoers”添加一个条目。添加后，“AAD DC 管理员”组的成员可以在 Ubuntu VM 上使用 sudo 命令。

打开 sudoers 文件进行编辑：
```
sudo visudo
```
将以下条目添加到“/etc/sudoers”文件的末尾：
```
# Add 'AAD DC Administrators' group members as admins.
%AAD\ DC\ Administrators ALL=(ALL) NOPASSWD:ALL
```
完成后，使用 Ctrl-X 命令保存并退出编辑器。

若要验证 VM 是否已成功加入托管域，请使用域用户帐户启动新的 SSH 连接。确认已创建主目录，并且已应用域的组成员身份。

从控制台创建新的 SSH 连接。通过 ssh -l 命令使用属于托管域的域帐户（例如 contosoadmin@aaddscontoso.com），然后输入 VM 的地址（例如“ubuntu.aaddscontoso.com”）。如果使用 Azure Cloud Shell，请使用 VM 的公共 IP 地址，而不是使用内部 DNS 名称。
```
sudo ssh -l contosoadmin@AADDSCONTOSO.com ubuntu.aaddscontoso.com
```
成功连接到 VM 后，验证是否已正确初始化主目录：
```
sudo pwd
```
你应位于“/home”目录中，并具有你自己的与用户帐户相匹配的目录。
现在请检查是否已正确解析组成员身份：
```
sudo id
```
应会看到托管域中的组成员身份。
如果以“AAD DC 管理员”组成员的身份登录到 VM，请检查是否可以正确使用 sudo 命令：
```
sudo apt-get update
```

后续步骤

如果在将 VM 连接到托管域或使用域帐户登录时遇到问题，请参阅域加入问题故障排除。