Problemy z dołączeniem do domeny Active Directory

Usiłuję dołączyć serwer Ubuntu 16.04 do domeny Windows 2003 R2, postępując zgodnie z instrukcjami Ubuntu SSSD i Active Directory Guide . Mój administrator mówi, że od strony kontrolera jest to część domeny. Ale SSSD nie może się uruchomić i net ads joinzawieść.

krb5.confZostał zmodyfikowany przez instalatora i ma teraz to:

kyle@Server21:~$ cat /etc/krb5.conf
[libdefaults]
        default_realm = COMAPNYNAME.LOCAL

Podczas poprzedniej instalacji myślałem, że było coś innego, o [realms]co proszono podczas instalacji, ale nie pamiętam o co i nie pytano o ten czas.

Mój smb.conf:

[global]

## Browsing/Identification ###

# Change this to the workgroup/NT-domain name your Samba server will part of
   workgroup = COMPANYNAME
   client signing = yes
   client use spnego = yes
   kerberos method = secrets and keytab
   realm = COMPANYNAME.LOCAL
   security = ads

Mój sssd.conf:

kyle@Server21:~$ sudo cat /etc/sssd/sssd.conf
[sssd]
services = nss, pam
config_file_version = 2
domains = COMPANYNAME.LOCAL

[domain/COMPANYNAME.LOCAL]
id_provider = ad
access_provider = ad
override_homedir = /home/%d/%u

Chociaż usługa SSSD nie może się uruchomić:

kyle@Server21:~$ systemctl status sssd.service
● sssd.service - System Security Services Daemon
   Loaded: loaded (/lib/systemd/system/sssd.service; enabled; vendor preset: enabled)
   Active: failed (Result: exit-code) since Wed 2016-06-22 09:57:57 EDT; 37min ago
  Process: 16027 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=1/FAILURE)

Jun 22 09:57:55 Server21 sssd[16038]: Starting up
Jun 22 09:57:55 Server21 sssd[16041]: Starting up
Jun 22 09:57:55 Server21 sssd[16042]: Starting up
Jun 22 09:57:56 Server21 sssd[be[16043]: Starting up
Jun 22 09:57:57 Server21 sssd[be[16043]: Failed to read keytab [default]: No such file or directory
Jun 22 09:57:57 Server21 sssd[16031]: Exiting the SSSD. Could not restart critical service [COMPANYNAME.LOCAL].
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Control process exited, code=exited status=1
Jun 22 09:57:57 Server21 systemd[1]: Failed to start System Security Services Daemon.
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Unit entered failed state.
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Failed with result 'exit-code'.

A ponieważ przewodnik mówi, że własność i uprawnienia są ważne:

kyle@Server21:~$ sudo ls -la /etc/sssd
total 12
drwx--x--x   2 sssd sssd 4096 Jun 21 14:34 .
drwxr-xr-x 103 root root 4096 Jun 22 10:21 ..
-rw-------   1 root root  172 Jun 21 14:22 sssd.conf

Mój nsswitch.conf:

kyle@Server21:~$ cat /etc/nsswitch.conf
# /etc/nsswitch.conf
#
# Example configuration of GNU Name Service Switch functionality.
# If you have the `glibc-doc-reference' and `info' packages installed, try:
# `info libc "Name Service Switch"' for information about this file.

passwd:         compat sss
group:          compat sss
shadow:         compat sss
gshadow:        files

hosts:          files dns
networks:       files

protocols:      db files
services:       db files sss
ethers:         db files
rpc:            db files

netgroup:       nis sss
sudoers:        files sss

Mój hosts:

kyle@Server21:~$ cat /etc/hosts
127.0.0.1       localhost
127.0.1.1       Server21.COMPANYNAME.LOCAL Server21
192.168.11.11   Server21.COMPANYNAME.LOCAL Server21

# The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

Tutaj zaczynają się kłopoty. Używanie sudodo uruchamiania kinitdaje następujące wyniki:

kyle@Server21:~$ sudo kinit adminstrator
kinit: Client 'adminstrator@COMPANYNAME.LOCAL' not found in Kerberos database while getting initial credentials

Uwierzytelni się, jeśli upuszczę sudochociaż:

kyle@Server21:~$ kinit -V administrator
Using default cache: /tmp/krb5cc_1000
Using principal: administrator@COMPANYNAME.LOCAL
Password for administrator@COMPANYNAME.LOCAL:
Authenticated to Kerberos v5

I mogę zweryfikować bilet:

kyle@Server21:~$ klist
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: administrator@COMPANYNAME.LOCAL

Valid starting       Expires              Service principal
06/23/2016 13:41:55  06/23/2016 23:41:55  krbtgt/COMPANYNAME.LOCAL@COMPANYNAME.LOCAL
        renew until 06/24/2016 13:41:48

Ale kiedy próbuję dołączyć do domeny:

kyle@Server21:~$ sudo net ads join -k
Failed to join domain: failed to lookup DC info for domain 'COMPANYNAME.LOCAL' over rpc: An internal error occurred.

Wcześniej otrzymałem NT_STATUS_UNSUCCESSFULwiadomość wymienioną w przewodniku, ale mogłem ją rozwiązać, modyfikując mój hostsplik.

Przewodnik mówi o sprawdzeniu, czy konto komputera zostało utworzone w usłudze Active Directory. I mój administrator mówi, że dobrze widzi maszynę, więc uważam, że jest w porządku. Druga opcja weryfikacji nie mówi mi, co mam odzyskać z tego polecenia, ale nic nie otrzymuję, więc chyba nie działa.

Więc gdzie się mylę?

Edytować:

Nie jestem pewien, co zrobiłem, ale SSSD już działa.

Problem polega na tym, że mój administrator utworzył wpis na kontrolerze domeny dla tego serwera. To najwyraźniej spowodowało konflikt, który spowodował, że Kerberos napotkał następujący błąd podczas próby dołączenia:

kyle@Server21:~$ sudo net ads join -k
Failed to join domain: failed to lookup DC info for domain 'COMPANYNAME.LOCAL' over rpc: An internal error occurred.

Nie jestem pewien, czy ten błąd był całkowicie dokładny, ponieważ mój administrator powiedział, że serwer został przyłączony do domeny po jego stronie i realmdwskazał, że również dołączyłem:

kyle@Server21:~$ realm join COMPANYNAME.LOCAL
realm: Already joined to this domain

Kroki, które wykonałem, aby uzyskać udane dołączenie do protokołu Kerberos, były następujące:

1. Administrator usunął wpis na kontrolerze domeny
2. Uruchom ponownie konfigurację Kerberos za pomocą: sudo dpkg-reconfigure krb5-config
3. Wybierz opcje w konfiguracji, aby jawnie dodać kontroler domeny do [realms]sekcjikrb5.conf
4. Zmieniono nazwę hosta, aby zapewnić utworzenie nowego rekordu
5. Wyciągnąłem nowy bilet za pomocą kinit
6. Dołączył do domeny przy użyciu sudo net ads join -k

Ostateczny wynik:

kyle@SERV21:~$ sudo net ads join -k  
Using short domain name -- COMPANYNAME  
Joined 'SERV21' to dns domain 'CompanyName.Local'

Myślę, że brakuje ci klawisza. Możesz go utworzyć za pomocą narzędzia kadmin. wpisz kadmin i szybkiego typu pomoc , aby zobaczyć, jak dodać keytab.