[devel] Графическая аутентификация в домен AD

[Alexander Bokovoy]

2008/12/12 Evgeny Sinelnikov <sin на altlinux.ru>:
> 12 декабря 2008 г. 12:15 пользователь Андрей Черепанов
> <cas на altlinux.ru> написал:
>> Пользователи просят предоставить графические инструменты для аутентификации в
>> домене Active Directory.
>>
>> Кто может заняться этой задачей или хотя бы подскать, куда копать?
>> У нас сейчас в десктопных дистрибутивах аутентификация через локальные файлы и
>> LDAP. Насколько технически сложно будет добавить Active Directory в этот
>> список?
>>
>
> Я попробую посмотреть, но заняться смогу только через неделю. Пока
> могу описать процесс. Буквально вчера подключал 64-битный Desktop 4.1
> к университетскому домену.
>
> Обнаружилось, что, во-первых, в бранч ещё не приехала Samba-3.0.33,
http://ftp.altlinux.org/pub/distributions/ALTLinux/4.0/branch/files/SRPMS/samba-3.0.33-alt1.M40.1.src.rpm
В Сизифе тоже есть. Что касается 4.1 -- это все к перекладывателям, о
том, что есть рассинхронизация репозитариев, я говорил довольно давно.

> во-вторых, samba у нас собрана без опции --with-dnsupdate. Пришлось
> пересобирать... К сожалению, обновить DNS-запись в DNS от AD так и не
> получилось:
> [sin на kafedra03 ~]$ net ads dns register -U sin
> sin's password:
> DNS update failed!
> [sin на kafedra03 ~]$ sudo net ads dns register -P
> DNS update failed!
Разберитесь, я не буду включать то, что не работает.

> К сожалению, для работы в домене и вообще с kerberos, в некоторых
> случаях очень мешает вот этот баг:
> https://bugzilla.altlinux.org/show_bug.cgi?id=17498
Можно рекомендацию? Не надо городить новых nss модулей. Делайте, как
делают все: добавляйте записи в /etc/hosts на любую выделенную подсеть
в 127., благо все они гарантированно ресолвятся в пределах одного
узла. Например, 127.127.127./24, если нужен какой-то конкретный
вариант.

> В плане описания процесса подключения я, уже довольно давно, делал описание:
> http://prcnit.sgu.ru/aps/dokumenty/podklyuchenie-linux-desktopov-k-domenu
>
> С тех пор изменилось только одно - для получения SPN, после входа в домен
> # net ads join
> необходимо выполнить
> # net ads keytab create
В пакете samba-doc есть книга Samba-3 By Example, в ней теме
подключения клиентов к различным доменам (как на основе AD, так и на
основе Samba и NT4) уделено несколько довольно обширных глав.

-- 
/ Alexander Bokovoy