主页 / server / 问题 / 1121916
Accepted
Dave
Asked: 2023-02-04 15:05:45 +0800 CST

SSSD 在加入领域后没有创建 krb5.conf 文件，无法 `id` 域用户，为什么？

  • 772

主要问题是加入域后，我不能成为id域用户。请注意，我没有重新启动主机，我需要这样做吗？我想我不需要。

在做了一些基本的故障排除后，我意识到在我加入域后，我认为会创建一个 krb5.conf 文件，/etc/krb5.conf但它从来没有。

我正在将 Ubuntu20.04 主机加入 Windows 2019 AD 服务器。我已经使用我在加入之前创建的脚本确认了以下内容：

[PASS] Checking hostname FQDN has domain 'our.domain' configured
[PASS] Checking hosts file for correct entry of 127.0.1.1
[PASS] Checking DNS resolution.
[PASS] Checking DNS search domain.
[PASS] Checking Time Zone is set properly
[PASS] Checking NTP servers are set properly
[PASS] Checking NTP root distance
[PASS] Checking NTP is syncing properly

dcdiagDC 上的结果是干净的。 /var/log/auth.log看起来很干净。 /var/log/sssd/sssd.log提供的东西很少。 /var/log/sssd/sssd_our.domain.log提供的东西很少。 /var/log/sssd/krb5_child是空的。

我也不知道如何让调试日志为 sssd 或 Kerberos 工作。

这是 sssd.conf 文件


[sssd]
domains = our.domain
config_file_version = 2
services = nss, pam

[domain/our.domain]
default_shell = /bin/bash
krb5_store_password_if_offline = True
cache_credentials = True
krb5_realm = OUR.DOMAIN
realmd_tags = manages-system joined-with-adcli
id_provider = ad
fallback_homedir = /home/%u@%d
ad_domain = our.domain
use_fully_qualified_names = True
ldap_id_mapping = True
access_provider = simple
simple_allow_groups = Domain Users, Domain Admins, Administrators

这是/usr/share/pam-configs/mkhomedir

Name: activate-mkhomedir
Default: yes
Priority: 900
Session-Type: Additional
Session:
        required                        pam_mkhomedir.so umask=0022 skel=/etc/skel

我也在执行以下操作，确认用户在“域用户”组中

$ sudo realm permit -g 'Domain Users'
$ sudo realm permit -g 'Domain Admins'
$ sudo realm permit -g 'Administrators'

谁能帮我在不使用环境变量的情况下更改调试日志，有没有我可以设置的设置？或者只是一些方向......

编辑：我终于弄清楚我们的设置有什么问题。问题是我们有一个多宿主 Active Directory 服务器配置了多个服务 DNS 的接口。这是一个很大的禁忌。当 SSSD LDAP 服务尝试为 DC 获取 IP 时，它被赋予了多个地址，并且从客户端的角度来看并非所有地址都是可路由的，因为它们位于不同的子网上。在移除 DC 上的其他接口并仅在一个接口上提供 DNS 服务后，我们不再遇到零星的领域加入问题。所以这从来都不是 Kerberos 问题，但下面建议的故障排除类型非常有帮助。

active-directory

1 个回答

  1. Best Answer

    Kerberos 纯粹是一种身份验证服务，无法提供用户帐户信息id——SSSD 的“nss”服务必须通过 LDAP 查询 AD 以获取该信息。所以您正在查看错误的日志；它是ldap_child或ad_child将处理帐户查找。

    检查/etc/nsswitch.conf并确保在和部分中配置了sss模块（不是“ldap”模块！）。passwd:group:

    在做了一些基本的故障排除后，我意识到在我加入域后，我认为会在 /etc/krb5.conf 中创建一个 krb5.conf 文件，但它从来没有。

    实际上，您处理 Kerberos 的唯一时间是 a) 当您运行时kinit，或者 b) 当您登录并且 SSSDkinit代表您执行时，或者 c) 当 SSSD 需要访问 AD LDAP 并使用机器密钥表来“kinit”时.

    您并不严格需要 krb5.conf 来获取票证，因为 Kerberos 可以使用 SRV 记录（AD始终具有）来发现 KDC——并且 SSSD 还安装了一个自定义的 libkrb5“定位器”插件来直接提供 KDC 地址。因此，虽然 realmd应该（如果我没记错的话）创建一个 krb5.conf，但它只包含通用信息，例如：

    [libdefaults]
    default_realm = OUR.DOMAIN
    rdns = false

    我也不知道如何让调试日志为 sssd 或 Kerberos 工作。

    对于 SSSD 本身，在部分（对于 krb5/ldap）和部分（对于 nss/pam 响应程序）debug_level = 0x0770中添加类似内容。[domain/...][sssd]

    id不与 Kerberos 或 LDAP 对话——它只与本地 SSSD 服务对话——但如果你想kinit先手动工作，你可以尝试以下操作：

    $ export KRB5_TRACE=/dev/stderr
$ export SSSD_KRB5_LOCATOR_DEBUG=1
$ kinit user@REALM
    • 3

相关问题