SSSD AD集成-澄清计算机加入AD

Question

目标

当将Linux盒与Windows域集成时，请澄清计算机，而不是用户。

背景

由于大多数SSSD AD信息侧重于用户身份验证，因此出现混淆，但显然在Windows域中，用户登录到的计算机已经在域中(作为服务主体？)。在我看来，我需要帮助才能找到真相。

问题-计算机要加入WindowsDomain.

我相信有几种方法。请建议以下是否正确。

1. 在Linux框中运行境界。
2. 在Linux (使用Samba创建主机密钥选项卡)中运行Samba。
3. 在域控制器中运行setSPN和ktpass

关于使用王国和samba，我想这个命令也会将Linux框加入域和AD中。对不对？此外，请指出资源，以了解什么是背后的计算机和领域，如果有的话。

这些方法需要管理员凭据或具有将计算机添加到域的权限的用户凭据，这些凭据并不总是可用的。然后，我认为需要要求Windows域管理员执行领域和samba的操作。在我看来，这涉及到下面，但如果它们是正确的，则需要修正/确认。

1. 在域DNS中创建A记录和反向查找PTR记录。
2. 在“计算机管理”视图中为Linux框添加计算机。盒子的UPN将是<linux hostname>@<realm or domain>。
3. 用setSPN为Linux创建一个SPN。SPN就像host/<name>@<realm or domain>。
4. 用ktpass创建一个keytab。SPN是用-princ指定的，UPN是用-mapuser指定的。
5. 将keytab复制到linux框中，作为/etc/krb5.keytab并更改权限。(在~/..ssh/中像pem文件一样对待)

问题- UPN和SPN?

为什么对同一个对象有多个标识符(linux框)？为什么需要SPN？

Answer 1

来自man net：

加入一个域。如果该帐户已经存在于服务器上，并且类型是成员，计算机将尝试自动加入。(假设机器已在服务器管理器中创建)否则，将提示输入密码，并可能创建一个新帐户。

简而言之，“”将机器连接到域。在linux框上运行此命令时，需要输入域管理凭据(或具有适当权限的其他用户)。

根据我的经验，基于samba版本，您可能需要手动创建一个A或PTR记录。在此之后，通过DHCP获得的任何动态IP都将自动刷新/更新A和PTR记录。

另一方面，您不需要费心于setSPN或ktpass。

您可以阅读这里的深度指南。