Подробный гайд по вводу Astra Linux Special Edition 1.7.6 в домен Active Directory
Подключение Astra Linux Special Edition (ALSE) 1.7.6 к домену Active Directory (AD) наиболее надежно и правильно выполнять через связку realmd, sssd и adcli. Этот метод является стандартом для современных дистрибутивов на базе Debian (на которых основана Astra) и обеспечивает стабильную работу, кэширование учетных данных и поддержку GPO.
Шаг 0. Предварительные требования (Критически важно)
Active Directory крайне чувствителен к настройкам сети и времени.
Прежде чем начинать, убедитесь в следующем:
1. DNS:
Astra Linux должна использовать контроллер домена (КД) AD в качестве основного DNS-сервера.
* Проверьте файл /etc/resolv.conf. В нем должна быть строка nameserver <IP-адрес-КД>.
* Проверьте разрешение имени: nslookup domain.local (должен вернуть IP контроллера).
2. Синхронизация времени:
Разница во времени между Astra Linux и КД не должна превышать 5 минут (иначе Kerberos отклонит авторизацию).
* Настройте chrony или ntpdate на синхронизацию с КД: sudo ntpdate <IP-адрес-КД>.
3. Имя компьютера:
Задайте статическое имя хоста (без пробелов и спецсимволов).
sudo hostnamectl set-hostname pc-name.domain.local
Шаг 1. Установка необходимых пакетов
Откройте терминал и обновите список пакетов, затем установите требуемые утилиты:
sudo apt update
sudo apt install realmd sssd sssd-tools adcli krb5-user samba-common-bin oddjob oddjob-mkhomedir packagekit
Важно:
В процессе установки пакета krb5-user появится синий экран с запросом Default Kerberos version 5 realm. Введите имя вашего домена ЗАГЛАВНЫМИ БУКВАМИ (например, DOMAIN.LOCAL). Если экран не появился или вы ввели неверно, это можно исправить позже командой sudo dpkg-reconfigure krb5-user.
Шаг 2. Обнаружение домена
Проверьте, видит ли система ваш домен:
realm discover domain.local
В выводе вы должны увидеть информацию о домене, включая domain-name: domain.local и configured: kerberos-member.
Шаг 3. Ввод машины в домен
Для ввода в домен потребуется учетная запись с правами администратора домена (или правами на добавление компьютеров в определенную OU).
sudo realm join --user=Administrator domain.local
Система запросит пароль администратора домена. Если пароль принят, машина будет добавлена в AD.
Опционально:
Если вы хотите поместить компьютер в конкретную Organizational Unit (OU), используйте параметр --computer-ou:
sudo realm join --user=Administrator --computer-ou="OU=Linux,OU=Computers,DC=domain,DC=local" domain.local
Шаг 4. Настройка SSSD
После успешного ввода в домен realmd автоматически создает конфигурационный файл /etc/sssd/sssd.conf. Однако его нужно немного подправить для удобства работы.
1. Откройте файл в редакторе:
sudo nano /etc/sssd/sssd.conf
2. Найдите секцию [domain/domain.local] и внесите/проверьте следующие параметры:
use_fully_qualified_names = False # Позволит входить как 'user', а не 'user@domain.local'
fallback_homedir = /home/%u@%d # Или просто /home/%u
access_provider = ad # Для поддержки групп AD
3. Убедитесь, что права доступа к файлу строги (иначе SSSD не запустится):
sudo chmod 600 /etc/sssd/sssd.conf
4. Перезапустите службу SSSD:
sudo systemctl restart sssd
Шаг 5. Автоматическое создание домашних каталогов
Чтобы при первом входе доменного пользователя автоматически создавалась его домашняя папка (/home/user), нужно активировать соответствующий PAM-модуль.
В Astra Linux это удобно делать через утилиту настройки PAM:
sudo pam-auth-update
В открывшемся псевдографическом меню с помощью клавиши Пробел обязательно отметьте галочкой пункт:
`[*] Create home directory on login
Нажмите Enter (Ok) для сохранения.
Альтернативный вариант (через oddjob):
sudo systemctl enable --now oddjobd
Шаг 6. Настройка прав sudo (для администраторов домена)
По умолчанию доменные пользователи не имеют прав root.
Чтобы добавить группу "Администраторы домена" в sudoers:
1. Откройте файл sudoers безопасным способом:
sudo visudo
2. Прокрутите в самый низ и добавьте следующую строку (обратите внимание на кавычки и экранирование, если в имени группы есть пробелы):
%domain\ admins@domain.local ALL=(ALL) ALL
(Если вы используете use_fully_qualified_names = False, то строка будет выглядеть так: %domain\ admins ALL=(ALL) ALL).
3. Сохраните файл (Ctrl+O, Enter, Ctrl+X в nano).
Шаг 7. Проверка работоспособности
1. Проверка получения информации о пользователе из AD:
id user@domain.local
Должны вывестись UID, GID и группы, к которым состоит пользователь.
2. Проверка локального входа:
su - user@domain.local
Если use_fully_qualified_names = False, то просто su - user. Должен создаться домашний каталог, и вы войдете в систему.
3. Проверка SSH:
Попробуйте подключиться к машине по SSH, используя доменные учетные данные.
Решение частых проблем (Troubleshooting)
* Ошибка "Preauthentication failed" или "Clock skew too great":
Проблема во времени. Проверьте статус синхронизации: timedatectl status. Настройте chrony на работу с контроллером домена.
* SSSD не запускается (ошибка в логах):
Чаще всего проблема в правах на sssd.conf. Выполните sudo chmod 600 /etc/sssd/sssd.conf и sudo systemctl restart sssd.
* Пользователь не входит, хотя пароль верный:
Проверьте логи SSSD: sudo tail -f /var/log/sssd/sssd_domain.local.log. Возможно, срабатывают политики доступа (GPO), ограничивающие вход на конкретные машины.
* Как вывести машину из домена?
sudo realm leave domain.local --user=Administrator
Специфика Astra Linux (Замечание по Parsec)
В Astra Linux Special Edition используется мандатный контроль целостности (МКЦ) и система Parsec. Если у вас включен мандатный контроль (режим "Смоленск" с максимальными настройками безопасности), при входе доменных пользователей Parsec может назначать им стандартные мандатные метки.
Обычно для базовой интеграции с AD никаких дополнительных настроек Parsec не требуется, но если вы используете строгие мандатные уровни, вам потребуется настроить сопоставление групп AD с мандатными уровнями Astra через утилиту fly-admin-ad или конфигурационные файлы Parsec (/etc/parsec/). Для стандартного (Орел/Смоленск без жесткого МКЦ) корпоративного использования описанного выше гайда достаточно.
Мы делимся этой технической информацией, чтобы помочь вам в решении задач — используйте её с пониманием. Статья носит рекомендательный характер, поэтому, пожалуйста, применяйте описанные методы осмотрительно.