Установка RedHat Enterprise Linux 8 (RHEL 8.4). Подключение RHEL8 к домену Active Directory. Запуск терминального клиента.

Пакет GNOME предоставляется группой пакетов «Server with GUI» или «Workstation».

Чтобы установить их, войдите в систему RHEL 8 через консоль или через SSH, затем выполните следующую команду.

# dnf group list

Глядя на приведенную выше команду, в разделе «Available Environment Groups» у нас есть много групп пакетов, включая«Server with GUI» и “Workstation”

В зависимости от типа вашей системы вы можете установить среду рабочего стола GNOME следующим образом.

# dnf groupinstall "Server with GUI"		#run this on a server environment
или
# dnf groupinstall "Workstation"		#to setup a workstation

Включение графического режима в RHEL 8

После завершения установки выполните следующую команду, чтобы установить графический режим в качестве цели по умолчанию для загрузки системы RHEL 8.

# systemctl set-default graphical

Затем перезагрузите систему для загрузки в графическом режиме, выполнив следующую команду.

# reboot

После загрузки системы вы получите доступ к интерфейсу входа в GNOME, нажмите на имя пользователя и введите свой пароль для входа, как показано на следующих снимках экрана.

Шаг1.Установка
Для интеграции RHEL 8 требуется ряд пакетов. Установим их выполнив следующие команды (Внимание ВСЕ команды из данной статьи выполняем от имени администратора):

su root   (команда входа в администраторский режим)
/вводим пароль пользователя/

sudo dnf install realmd sssd oddjob oddjob-mkhomedir adcli samba-common samba-common-tools krb5-workstation authselect-compat

Подтверждаем запрос на установку.

рис.12 - установка пакетов

На новом компьютере с RHEL 8 нужно зарегистрировать его для установки пакетов. Если подписка RedHat уже получена (и не отменена), тогда при выполнении следующих команд будет выведено соответствующее сообщение о наличии активной подписки. Выпоняем команду:

$ sudo subscription-manager register

Registering to: subscription.rhsm.redhat.com:443/subscription

Username:

Password:

The system has been registered with ID: d39d60a7-3236-4287-b361-53264159f5d1

The registered system name is: master.example.com

$ sudo subscription-manager attach --auto

Installed Product Current Status:

Product Name: Red Hat Enterprise Linux for x86_64

Status:       Subscribed

Если вы уже получили подписку ранее, то пропустите шаг 1.

рис.13 - сообщение об активированной системе.

Шаг 2. Обнаружение домена Active Directory в RHEL 8

Перед выполнением интеграции Active Directory убедитесь, что компьютер может разрешить и обнаружить домен Active Directory.

Проверка настройки DNS:

$ cat /etc/resolv.conf

Убедитесь, что обнаружение домена прошло успешно:

$ realm discover example.com (example.com - это пример, вместо него вы должны вводить свой домен)

После ввода команды должны появиться следующие строчки:

example.com

type: kerberos

realm-name: EXAMPLE.COM              

domain-name: example.com

configured: no

server-software: active-directory

client-software: sssd

required-package: oddjob

required-package: oddjob-mkhomedir

required-package: sssd

required-package: adcli

required-package: samba-common-tools

Если на контроллере домена используется Windows 2008 with AES, прийдется отредактировать конфигурационный файл сервера Kerberos. Для более нового сервера либо подойдут дефолтные настройки, либо редактировать придется по-другому, придется погуглить.

$nano etc/krb5.conf

# To opt out of the system crypto-policies configuration of krb5, remove the
# symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
includedir /etc/krb5.conf.d/

[logging]
    default = FILE:/var/log/krb5libs.log
    kdc = FILE:/var/log/krb5kdc.log
    admin_server = FILE:/var/log/kadmind.log

[libdefaults]
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
    spake_preauth_groups = edwards25519
    default_realm = EXAMPLE.COM

# for Windows 2008 with AES
   default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
   default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
   permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5

   default_ccache_name = KEYRING:persistent:%{uid}

[realms]
EXAMPLE.COM = {
    kdc = имя_компа_контроллера_домена.example.com
    admin_server = имя_компа_контроллера_домена.example.com
    default_domain = EXAMPLE.COM
}

[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM

[appdefaults]
  autologin = true
  forward = true
  forwardable = true
  encrypt = true

сохраняем, жмем "ctrl+s" чтобы сохранить и "ctrl+x" чтобы закрыть редактор.

Изменяем ssd.conf (SSSD (System Security Services Daemon) — системный демон, позволяющий обращаться к удаленным механизмам авторизации). Напоминаю, мы все делаем от имени администратора

$nano etc/sssd/ssd.conf

в пустом файле пишем:

[domain/EXAMPLE.COM]
ad_server = имя_компа_контроллера_домена.example.com

(вместо Example пишем свой)

жмем "ctrl+s" чтобы сохранить и вводим имя ssd.conf

жмем "ctrl+x" чтобы закрыть редактор.

Необходимо настроить smb-клиент. Делаем архивную копию файла smb.conf

$cd /etc/samba

$cp smb.conf smb.conf.old

и заменяем его на следующий файл.

$nano smb.conf

[global]
   # Эти две опции нужно писать именно в заглавном регистре, причём workgroup без
   # последней секции после точки, а realm - полное имя домена 
   workgroup = EXAMPLE
   realm = EXAMPLE.COM

   # Эти две опции отвечают как раз за авторизацию через AD
   security = ADS
   encrypt passwords = true
   # Просто важные 
   dns proxy = no 
   socket options = TCP_NODELAY

   # Если вы не хотите, чтобы самба пыталась при случае вылезти в лидеры в домене или рабочей группе,
   # или даже стать доменконтроллером, то всегда прописывайте эти пять опций именно в таком виде
   domain master = no
   local master = no
   preferred master = no
   os level = 0
   domain logons = no

   template shell = /bin/bash
   winbind enum users = Yes
   winbind enum groups = Yes
   winbind use default domain = Yes
   winbind refresh tickets = Yes
   idmap config * : range = 10000-20000
   idmap config * : backend = tdb

   # Отключить поддержку принтеров
   load printers = no
   show add printer wizard = no
   printcap name = /dev/null
   disable spoolss = yes

   log level = 2

и перезагружаем пк
$reboot

после перезагрузки

$su root

Затем выполните приведенную ниже команду, чтобы присоединить систему RHEL 8 к домену Active Directory.
Вводим команду (Administrator нужно заменить на свою учетную запись администратора и введите пароль):

$ realm join example.com -U Administrator

Password for Administrator:

$ sudo realm list
Вывод команды:

example.com

type: kerberos

realm-name: EXAMPLE.COM

domain-name: example.com

configured: kerberos-member

server-software: active-directory

client-software: sssd

required-package: oddjob

required-package: oddjob-mkhomedir

required-package: sssd

required-package: adcli

required-package: samba-common-tools

login-formats: %U@example.com

login-policy: allow-realm-logins
 

Готово!

рис.14 Результат