两个AD域的Linux

Question

我将Centos Box加入到Windows域

realm join --user=DomUser dom2.local

没有任何问题。域拥有与Dom1的单向信任关系.我们的Windows用户可以：

• 使用Dom1/User登录到Dom1/Host
• 使用Dom1/User登录到Dom2/Host
• 使用Dom2/User登录到Dom2/Host

在我们的Linux框上(在Dom2中)，只有Dom2/用户可以登录。我在网上找到了一些证据，可以用两个域配置sssd，所以我在sssd配置中添加了一个块：

# cat /etc/sssd/sssd.conf 
[sssd]
domains = dom1.local, dom2.local
config_file_version = 2
services = nss, pam

[domain/dom1.local]
ad_domain = dom1.local
krb5_realm = DOM1.LOCAL
realmd_tags = manages-system joined-with-samba 
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
enumerate = True


[domain/dom2.local]
ad_domain = dom2.local
krb5_realm = DOM2.LOCAL
realmd_tags = manages-system joined-with-samba 
#cache_credentials = True
cache_credentials = False
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
enumerate = True

现在，如果我尝试与Dom2用户登录，我会得到以下内容：

pam_sss(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host.dom1.local user=user@dom2.local
pam_sss(sshd:auth): received for user user@dom2.local: 6 (Permission denied)
Failed password for user@dom2.local from 10.10.0.10 port 34442 ssh2

有人用sssd成功地配置了两个AD域吗？或者知道怎么做吗？

Edit1：

使用getent passwd，我可以看到来自两个域的所有用户，并且两者都是：

id user1@dom1.local
id user2@dom2.local

也要工作。

Answer 1

好的，这是一个旧的线索，但我认为它对我们中的一些人是有用的。

如果要对多个域使用sssd，则必须这样做：

来自https://access.redhat.com/solutions/4035171：

在领域联接命令之后，将另一个域从另一个林中添加到/etc/krb5.conf的域名_境界部分：

.dom1.local = DOM1.LOCAL
dom1.local = DOM1.LOCAL

然后加入域dom1.local：

adcli join --host-keytab=/etc/krb5.keytab.dom1.local dom1.local

更改sssd.conf如下：

[sssd]
domains = dom2.local,dom1.local
...
[domain/testing.com]
ad_domain = dom1.local
krb5_realm = DOM1.LOCAL
realmd_tags = manages-system joined-with-samba 
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = False
fallback_homedir = /home/%u@%d
access_provider = ad
timeout = 3600
krb5_keytab = /etc/krb5.keytab.dom1.local
ldap_krb5_keytab = /etc/krb5.keytab.dom1.local

并重新启动sssd：systemctl restart sssd

Answer 2

您确实需要启用sssd日志并查看那里，请参阅https://docs.pagure.org/SSSD.sssd/users/troubleshooting.html。

通常，当sssd由于无法到达的服务器之一切换到脱机模式时，PAM会在auth期间返回错误6。