Configurado o Samba e o Kerberos, vamos adicionar a máquina ao domínio:

# kinit Usuario@DOMINIO.LOCAL  # Esse comando cria um ticket de comunicação com o servidor de AD

Para verificar se o ticket está ativo, usa-se o comando:

# klist

 Ticket cache: FILE:/tmp/krb5cc_0
 Default principal: principal@DOMINIO.LOCAL

 Valid starting Expires Service principal
 06-09-2012 11:19:15 07-09-2012 01:29:45 
  krbtgt/DOMINIO.LOCAL@DOMINIO.LOCAL

Agora, vamos adicionar a máquina no AD:

# net ads join DOMINIO.LOCAL -U <usuario_admin>

Obs.: O usuário deve ser um usuário admin do Active Directory. Ex.: Adminitrator@DOMINIO.LOCAL.

O resultado deverá ser parecido com esse:

 Using short domain name - DOMINIO.LOCAL
 Joined 'nome_da_maquina' to realm 'DOMINIO.LOCAL'

Caso haja algum erro na mensagem relativo ao DNS, adicione uma linha no arquivo de hosts, como segue abaixo:

# vim /etc/hosts

 192.168.0.1 adservidor.dominio.local adservidor

Podemos, então, testar se o computador foi adicionado e a autenticação foi feita com sucesso:

# net ads testjoin

A saída deverá ser:

 Join is OK

Precisamos, também, configurar o Winbind. Edite o arquivo "/etc/nsswitch.conf":

# vim /etc/nsswitch.conf

Altere as linhas e deixe assim:



Vamos agora testar se o AD está configurado com o Winbind:

# wbinfo -u  # Vai retornar a lista de usuários do Active Directory
# wbinfo -g  # Vai retornar a lista de grupos do Active Directory

Agora, vamos testar se o módulo nsswitch está configurado e se comunicando normalmente com o AD:

# getent passwd  # Esse comando deverá mostrar uma lista com todos os usuários locais e todos os usuários do Active Directory
# getent group  # Esse comando deverá mostrar a lista com todos os grupos locais e todos os usuários do Active Directory

PAM.D

Precisamos fazer uns pequenos ajustes também no PAM.D:

# vim /etc/pam.d/common-session

Adicione a linha:



Isso vai fazer com que ele crie automaticamente o diretório do usuário no "/home", assim que ele logar pela primeira vez.

Precisamos também criar um diretório para os usuários do domínio:

# mkdir /home/DOMINIO.LOCAL

Considerações finais

Assim, terminamos a maioria das configurações.

Uma pequena ressalva, é que os tickets do Kerberos não dão refresh automaticamente, o que faz com que, ao reiniciar a máquina, seja preciso reiniciar o kinit para que ele gere um novo ticket.

No meu caso, eu criei uma keytab usando a ferramente ktutil do Kerberos para que um script possa chamar o refresh na inicialização da máquina sem a necessidade de colocar uma senha no script.

Porém, esse tutorial, eu farei em outra parte, mostrando como criar um ticket automaticamente usando uma ferramenta do Kerberos juntamente com um script que irá atualizar esse ticket quando o sistema operacional iniciar.


Abraço a todos!

Artigo também publicado em:

• Linux autenticando no Active Directory com Samba/Kerberos/Winbind – Ubuntu 12.04 | Mundo *nix