將 Ubuntu Linux 虛擬機器加入 Microsoft Entra Domain Services 受控網域

發行項
10/19/2023

若要讓使用者使用單一認證集合登入 Azure 中的虛擬機器（VM），您可以將 VM 加入 Microsoft Entra Domain Services 受控網域。當您將 VM 加入 Domain Services 受控網域時，網域中的使用者帳戶和認證可用來登入和管理伺服器。也會套用受控網域中的群組成員資格，讓您控制 VM 上檔案或服務的存取權。

本文說明如何將 Ubuntu Linux VM 加入受控網域。

必要條件

若要完成本教學課程，您需要下列資源和許可權：

啟用中的 Azure 訂用帳戶。
- 如果您沒有 Azure 訂用帳戶，請建立帳戶。
與您的訂用帳戶相關聯的 Microsoft Entra 租使用者，會與內部部署目錄或僅限雲端目錄同步。
- 如有需要，請建立 Microsoft Entra 租使用者，或建立 Azure 訂用帳戶與您的帳戶的關聯。
在您的 Microsoft Entra 租使用者中啟用和設定 Microsoft Entra Domain Services 受控網域。
- 如有需要，第一個教學課程會建立並設定 Microsoft Entra Domain Services 受控網域。
屬於受控網域一部分的使用者帳戶。請確定使用者的 SAMAccountName 屬性未自動產生。如果 Microsoft Entra 租使用者中的多個使用者帳戶具有相同的 mailNickname 屬性，則會自動產生每個使用者的 SAMAccountName 屬性。如需詳細資訊，請參閱如何在 Microsoft Entra Domain Services 受控網域中同步處理物件和認證。
唯一的 Linux VM 名稱上限為 15 個字元，以避免在 Active Directory 中造成衝突的截斷名稱。

建立並聯機到 Ubuntu Linux VM

如果您在 Azure 中有現有的 Ubuntu Linux VM，請使用 SSH 連線到它，然後繼續進行下一個步驟以開始設定 VM 。

如果您需要建立 Ubuntu Linux VM，或想要建立測試 VM 以搭配本文使用，您可以使用下列其中一種方法：

當您建立 VM 時，請注意虛擬網路設定，以確定 VM 可以與受控網域通訊：

將 VM 部署到您已啟用 Microsoft Entra Domain Services 的相同或對等互連虛擬網路。
將 VM 部署到與您 Microsoft Entra Domain Services 受控網域不同的子網。

部署 VM 之後，請遵循使用 SSH 連線到 VM 的步驟。

設定 hosts 檔案

若要確定已針對受控網域正確設定 VM 主機名稱，請編輯 /etc/hosts 檔案並設定主機名稱：

sudo vi /etc/hosts

在主機 檔案中 ，更新 localhost 位址。在以下範例中：

aaddscontoso.com 是您受控網域的 DNS 功能變數名稱。
ubuntu 是您加入受控網域之 Ubuntu VM 的主機名稱。

以您自己的值更新這些名稱：

127.0.0.1 ubuntu.aaddscontoso.com ubuntu

完成後，請使用 :wq 編輯器的命令儲存並結束 hosts 檔案。

安裝必要的套件

VM 需要一些額外的套件，才能將 VM 加入受控網域。若要安裝和設定這些套件，請使用更新並安裝加入網域的工具 apt-get

在 Kerberos 安裝期間， krb5 使用者 套件會在 ALL 大寫中提示領域名稱稱。例如，如果受控網域的名稱是 aaddscontoso.com ，請輸入 AADDSCONTOSO.COM 作為領域。安裝會在 [realm] /etc/krb5.conf 組態檔中 寫入和 [domain_realm] 區段。請確定您指定領域為 ALL 大寫：

sudo apt-get update
sudo apt-get install krb5-user samba sssd sssd-tools libnss-sss libpam-sss ntp ntpdate realmd adcli

設定網路時間通訊協定（NTP）

若要讓網域通訊正常運作，Ubuntu VM 的日期和時間必須與受控網域同步。將受控網域的 NTP 主機名稱新增至 /etc/ntp.conf 檔案。

使用 編輯器開啟 ntp.conf 檔案：
```
sudo vi /etc/ntp.conf
```
在 ntp.conf 檔案中 ，建立一行以新增受控網域的 DNS 名稱。在下列範例中，會新增 aaddscontoso.com 的專案 。使用您自己的 DNS 名稱：
```
server aaddscontoso.com
```
完成後，請使用 :wq 編輯器的命令儲存 並結束 ntp.conf 檔案。
若要確定 VM 已與受控網域同步，您需要下列步驟：
- 停止 NTP 伺服器
- 從受控網域更新日期和時間
- 啟動 NTP 服務
執行下列命令以完成這些步驟。搭配命令使用您自己的 DNS 名稱 ntpdate ：
```
sudo systemctl stop ntp
sudo ntpdate aaddscontoso.com
sudo systemctl start ntp
```

將 VM 加入受控網域

既然所需的套件已安裝在 VM 上，且已設定 NTP，請將 VM 加入受控網域。

realm discover使用命令來探索受控網域。下列範例會探索領域 AADDSCONTOSO.COM 。在 ALL 大寫中指定您自己的受控功能變數名稱：
```
sudo realm discover AADDSCONTOSO.COM
```
realm discover如果命令找不到您的受控網域，請檢閱下列疑難排解步驟：
- 請確定可從 VM 連線到網域。嘗試 ping aaddscontoso.com 查看是否傳回正回復。
- 檢查 VM 是否已部署到可用的受控網域所在的相同或對等互連虛擬網路。
- 確認虛擬網路的 DNS 伺服器設定已更新，以指向受控網域的網域控制站。
現在使用 kinit 命令初始化 Kerberos。指定屬於受控網域一部分的使用者。如有需要，請將使用者帳戶新增至 Microsoft Entra ID 中的群組。

同樣地，受控功能變數名稱必須以全部大寫輸入。在下列範例中，名為 contosoadmin@aaddscontoso.com 的帳戶是用來初始化 Kerberos。輸入屬於受控網域一部分的您自己的使用者帳戶：
```
sudo kinit -V contosoadmin@AADDSCONTOSO.COM
```
最後，使用 realm join 命令將 VM 加入受控網域。使用相同的使用者帳戶，這是您在上 kinit 一個命令中指定的受控網域的一部分，例如 contosoadmin@AADDSCONTOSO.COM ：
```
sudo realm join --verbose AADDSCONTOSO.COM -U 'contosoadmin@AADDSCONTOSO.COM' --install=/
```

將 VM 加入受控網域需要一些時間。下列範例輸出顯示 VM 已成功加入受控網域：

Successfully enrolled machine in realm

如果您的 VM 無法順利完成網域加入程式，請確定 VM 的網路安全性群組允許 TCP + UDP 埠 464 上的輸出 Kerberos 流量到受控網域的虛擬網路子網。

如果您收到錯誤 未指定的 GSS 失敗。次要程式碼可能會提供詳細資訊（在 Kerberos 資料庫中找不到伺服器）， 開啟 /etc/krb5.conf 檔案，並在區段中新增下列程式碼 [libdefaults] ，然後再試一次：

rdns=false

更新 SSSD 設定

在上一個步驟中安裝的其中一個套件是針對系統安全性服務精靈（SSSD）。當使用者嘗試使用網域認證登入 VM 時，SSSD 會將要求轉接至驗證提供者。在此案例中，SSSD 會使用網域服務來驗證要求。

使用 編輯器開啟 sssd.conf 檔案：
```
sudo vi /etc/sssd/sssd.conf
```
將行批註化use_fully_qualified_names ，如下所示：
```
# use_fully_qualified_names = True
```
完成後，請使用 :wq 編輯器的命令儲存 並結束 sssd.conf 檔案。
若要套用變更，請重新開機 SSSD 服務：
```
sudo systemctl restart sssd
```

設定使用者帳戶和群組設定

將 VM 加入受控網域並設定進行驗證時，有幾個使用者設定選項可以完成。這些設定變更包括允許密碼型驗證，以及在網域使用者第一次登入時自動在本機 VM 上建立主目錄。

允許 SSH 的密碼驗證

根據預設，使用者只能使用 SSH 公開金鑰型驗證來登入 VM。密碼式驗證失敗。當您將 VM 加入受控網域時，這些網域帳戶必須使用密碼型驗證。更新 SSH 組態以允許密碼型驗證，如下所示。

使用編輯器開啟sshd_conf 檔案：
```
sudo vi /etc/ssh/sshd_config
```
將 PasswordAuthentication 的行 更新為 yes ：
```
PasswordAuthentication yes
```
完成後，請使用 :wq 編輯器的命令儲存 並結束sshd_conf 檔案。
若要套用變更，並讓使用者使用密碼登入，請重新開機 SSH 服務：
```
sudo systemctl restart ssh
```

設定自動主目錄建立

若要在使用者第一次登入時自動建立主目錄，請完成下列步驟：

在 /etc/pam.d/common-session 編輯器中開啟檔案：
```
sudo vi /etc/pam.d/common-session
```
在此檔案的行底下新增下列這一行 session optional pam_sss.so ：
```
session required pam_mkhomedir.so skel=/etc/skel/ umask=0077
```
完成後，請使用 :wq 編輯器的命令儲存 並結束一般會話 檔案。

授與 'AAD DC 管理員istrators' 群組 sudo 許可權

若要將 AAD DC 管理員istrators 群組系統管理許可權的成員 授與 Ubuntu VM，請將專案新增至 /etc/sudoers 。新增之後，AAD DC 管理員istrators 群組的成員 就可以在 sudo Ubuntu VM 上使用命令。

開啟 sudoers 檔案以進行編輯：
```
sudo visudo
```
將下列專案新增至 /etc/sudoers 檔案的 結尾：
```
# Add 'AAD DC Administrators' group members as admins.
%AAD\ DC\ Administrators ALL=(ALL) NOPASSWD:ALL
```
完成後，請使用 Ctrl-X 命令儲存並結束編輯器。

若要確認 VM 已成功加入受控網域，請使用網域使用者帳戶啟動新的 SSH 連線。確認已建立主目錄，並套用網域中的群組成員資格。

從主控台建立新的 SSH 連線。使用 ssh -l 屬於受控網域的網域帳戶，例如 contosoadmin@aaddscontoso.com ，然後輸入 VM 的位址，例如 ubuntu.aaddscontoso.com 。如果您使用 Azure Cloud Shell，請使用 VM 的公用 IP 位址，而不是內部 DNS 名稱。
```
sudo ssh -l contosoadmin@AADDSCONTOSO.com ubuntu.aaddscontoso.com
```
成功連線到 VM 時，請確認主目錄已正確初始化：
```
sudo pwd
```
您應該使用 符合使用者帳戶的 /home 目錄。
現在，請檢查群組成員資格是否已正確解析：
```
sudo id
```
您應該會看到來自受控網域的群組成員資格。
如果您以 AAD DC 管理員istrators 群組的成員身 分登入 VM，請檢查您是否可以正確使用 sudo 命令：
```
sudo apt-get update
```

下一步

如果您在將 VM 連線到受控網域或使用網域帳戶登入時遇到問題，請參閱針對加入網域的問題進行疑難排解。