建站
咨詢
售后
建站咨詢
新聞中心
隨著網(wǎng)絡(luò)規(guī)模的增大和網(wǎng)絡(luò)設(shè)備的增多，如何有效地管理網(wǎng)絡(luò)成為了運維人員必須面對的一項重要任務(wù)。而域控制器（Domn Controller）作為網(wǎng)絡(luò)中的核心組件，負(fù)責(zé)管理用戶、計算機和其他設(shè)備的訪問權(quán)限、網(wǎng)絡(luò)策略、安全性等，是網(wǎng)絡(luò)管理者必不可少的工具。
創(chuàng)新互聯(lián)是由多位在大型網(wǎng)絡(luò)公司、廣告設(shè)計公司的優(yōu)秀設(shè)計人員和策劃人員組成的一個具有豐富經(jīng)驗的團隊，其中包括網(wǎng)站策劃、網(wǎng)頁美工、網(wǎng)站程序員、網(wǎng)頁設(shè)計師、平面廣告設(shè)計師、網(wǎng)絡(luò)營銷人員及形象策劃。承接：做網(wǎng)站、成都做網(wǎng)站、網(wǎng)站改版、網(wǎng)頁設(shè)計制作、網(wǎng)站建設(shè)與維護、網(wǎng)絡(luò)推廣、數(shù)據(jù)庫開發(fā),以高性價比制作企業(yè)網(wǎng)站、行業(yè)門戶平臺等全方位的服務(wù)。
Windows操作系統(tǒng)的域控制器一直是企業(yè)網(wǎng)絡(luò)的選擇，但是隨著Linux操作系統(tǒng)的不斷發(fā)展和完善，越來越多的運維人員開始使用Linux搭建域控服務(wù)器。相比Windows操作系統(tǒng)，Linux操作系統(tǒng)具有更高的穩(wěn)定性、更好的安全性、更低的成本等優(yōu)勢。
下面將介紹如何使用Linux搭建一個域控服務(wù)器，并通過該服務(wù)器進行網(wǎng)絡(luò)管理。
1. 準(zhǔn)備工作
在搭建域控服務(wù)器前，需要先準(zhǔn)備好以下工作：
1）一臺已安裝好Linux操作系統(tǒng)的服務(wù)器：可以選擇常用的CentOS、Ubuntu等操作系統(tǒng)。
2）OpenLDAP軟件包：LDAP是輕量級目錄訪問協(xié)議，是Linux操作系統(tǒng)中常用的目錄服務(wù)協(xié)議。在安裝LDAP軟件包前，需要先安裝EPEL存儲庫。
3）Samba軟件包：Samba是用于實現(xiàn)文件和打印機共享的軟件包。在安裝Samba前，需要先安裝Winbind軟件包。
4）Kerberos軟件包：Kerberos是網(wǎng)絡(luò)認(rèn)證協(xié)議，用于安全地認(rèn)證用戶。在安裝Kerberos前，需要先安裝MIT Kerberos軟件包。
2. 安裝LDAP
安裝EPEL存儲庫：
“`
yum install epel-release
“`
安裝OpenLDAP：
“`
yum install openldap-servers openldap-clients
“`
設(shè)置OpenLDAP服務(wù)：
“`
systemctl start slapd
systemctl enable slapd
“`
3. 安裝Samba和Winbind
安裝Samba和Winbind：
“`
yum install samba samba-client samba-winbind krb5-workstation
“`
配置Samba：
“`
vim /etc/samba/b.conf
“`
在b.conf中加入以下內(nèi)容：
“`
[global]
workgroup = YOURDOMN
password server = YOUR PDC
security = ads
realm = YOUR REALM
idmap uid = 10000-20230
idmap gid = 10000-20230
winbind enum users = yes
winbind enum groups = yes
winbind use default domn = yes
template homedir = /home/%D/%U
template shell = /bin/bash
“`
其中，YOURDOMN是你的域名，YOUR PDC是你的主域控制器，YOUR REALM是你的Kerberos REALM。
4. 安裝Kerberos
安裝MIT Kerberos：
“`
yum install krb5-server krb5-workstation
“`
配置Kerberos：
“`
vim /etc/krb5.conf
“`
在krb5.conf中加入以下內(nèi)容：
“`
[libdefaults]
default_realm = YOUR REALM
dns_lookup_realm = false
dns_lookup_kdc = true
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
[realms]
YOUR REALM = {
kdc = YOUR KDC
}
[domn_realm]
.mydomn.com = YOUR REALM
mydomn.com = YOUR REALM
“`
其中，YOUR REALM是你的Kerberos REALM，YOUR KDC是你的KDC服務(wù)器。
5. 加入域
通過以下命令加入域：
“`
realm join YOUR REALM -U admin
“`
其中，YOUR REALM是你的Kerberos REALM，admin是你的管理員賬戶。
6. 配置用戶和組
使用LDAP添加用戶和組：
“`
ldapadd -x -D “cn=admin,cn=config” -w YOUR LDAP PASSWORD -f adduser.ldif
ldapadd -x -D “cn=admin,cn=config” -w YOUR LDAP PASSWORD -f addgroup.ldif
“`
其中，YOUR LDAP PASSWORD是你的LDAP管理員密碼。
adduser.ldif文件內(nèi)容如下：
“`
dn: uid=testuser,ou=People,dc=yourdomn,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
givenName: Test
sn: User
cn: Test User
displayName: Test User
uid: testuser
uidNumber: 15000
gidNumber: 15000
homeDirectory: /home/testuser
loginShell: /bin/bash
userPassword: {SSHA}YOUR PASSWORD HERE
“`
addgroup.ldif文件內(nèi)容如下：
“`
dn: cn=testgroup,ou=Group,dc=yourdomn,dc=com
objectClass: top
objectClass: posixGroup
cn: testgroup
gidNumber: 15000
“`
7. 配置權(quán)限
通過以下命令將testuser用戶添加到testgroup組：
“`
usermod -a -G testgroup testuser
“`
通過以下命令將testgroup組添加到Samba共享文件夾的ACL中：
“`
setfacl -m g:testgroup:rwx /path/to/shared/folder
“`
現(xiàn)在，testuser用戶就可以訪問共享文件夾了。
通過以上步驟，我們就成功地搭建了一個Linux域控服務(wù)器，并通過該服務(wù)器進行了用戶和組的管理、權(quán)限的配置等。相比Windows域控，Linux域控更加靈活、安全、穩(wěn)定，同時也可以完美地支持Windows客戶端的接入，是企業(yè)網(wǎng)絡(luò)管理的不二選擇。
相關(guān)問題拓展閱讀：
- LINUX有沒有WINDOWS下的域控制器的概念
- 如何讓 Linux 機器加入 Windows 的 AD 域
LINUX有沒有WINDOWS下的域控制器的概念
windows里的進程/線程是繼承自O(shè)S/2的。在windows里，”進程”是指一個程拍敏序，而”線程”是一個”進程”里的一個執(zhí)行沖賀肢”線索”。從核心上講，windows的多散世進程與Linux并無多大的區(qū)別，在windows里的線程才相當(dāng)于Linux的進程，是一個實際正在執(zhí)行的代碼。
當(dāng)在由Windows個人電腦搭建的LAN享文件和打印機等資源時，通常要設(shè)置“工作組”和“域”。兩者之間的基本區(qū)別在于資源的共享方式和管理用戶的方法不同，主要根據(jù)LAN的規(guī)模來區(qū)別使用。首先談一下工作組，通常所說的工作組是指在LAN上共享文件時為了便于訪問其他個人電腦而設(shè)置的集團，設(shè)置方法很簡單。例如在配備LAN端子的Windows Me個人電腦中用鼠標(biāo)右擊“我的網(wǎng)絡(luò)”打開“屬性”。然后在“識別信息”標(biāo)簽畫面中輸入工作組的名稱即可。如果在LAN上的每臺個人電腦設(shè)置相同的工作組名稱，那么在“我的網(wǎng)絡(luò)”中，這些個人電腦將顯示在同一個集團中。不過如果要想通過工作組控制用戶訪問共享文件，就需要對于每臺設(shè)為共享的個人電腦進行設(shè)置，增加了訪問的復(fù)雜程度。例鄭或如當(dāng)一臺計算機被設(shè)定了密碼后，每次從其他個人電腦訪問這臺電銷歷腦中的共享文件時都必須輸入密碼。這樣，如果共享計算機的數(shù)量和用戶數(shù)量很多的話，對于每臺電腦都進行訪問管理就變成了一件非常復(fù)雜的事情。為了解決這一問題，就提出了“域”的概念–集中管理所有用戶的權(quán)限以及設(shè)定如何登陸到文件服務(wù)器上的虧叢搜共享個人電腦。這個用來管理該域的服務(wù)器被稱為“域控制器”。與通常啟動個人電腦時一樣，用戶輸入用戶名和密碼登錄到域，再訪問這個“域”中的共享文件時就無須每次輸入密碼了。需要強調(diào)的一點是，在域控制器中必須安裝Windows 2023 Server等服務(wù)器OS。
如何讓 Linux 機器加入 Windows 的 AD 域
可以，下載安裝并配置Samba，你找?guī)灼恼聦W(xué)習(xí)下吧
對于帳戶統(tǒng)一管理系統(tǒng)或軟件來說，在 Linux 下你可能知道 NIS、OpenLDAP、samba 或者是 RedHat、IBM 的產(chǎn)品，在 Windows 下談虧當(dāng)然就是最出名的活動目錄 （AD）了，這里就來探討一下如何讓 Linux 的計算機加入 AD 域。
首先，先簡單介紹一下 AD 域。自 Windows 2023 以來，AD 一直是 Windows 的身份驗證和目錄服務(wù)，AD 基于 LDAP 實現(xiàn)其功能，其使用 DNS 進行主機名的解析，使用 Kerberos V5 進行用戶身份驗證，使用 LDAP V3 進行統(tǒng)一的帳戶管理。
目標(biāo)：在 AD 域中，將 Linux 服務(wù)器加入 AD，以衫廳使 Domain Admins 用戶組成員可以登錄操作 Linux 服務(wù)器，不需要在 Linux 服務(wù)器中單獨創(chuàng)建帳戶。
環(huán)境：一臺 Windows Server 2023 R2 操作系統(tǒng)的服務(wù)器，安裝有 AD 并作為域控制器（DC），同時也作為 DNS 服務(wù)器和時間服務(wù)器；一臺 RedHat Enterprise Linux 6.x 的服務(wù)器，請自行配置好網(wǎng)絡(luò)及 YUM 源。有關(guān) AD 域服務(wù)器的搭或侍隱建，由于比較簡單，請自行查閱資料完成，這里不再詳述。
這里以 Windows 服務(wù)器地址為 192.168.2.122，域名為 contoso.com，主機名為 ad.contoso.com；Linux 服務(wù)器地址為 192.168.2.150，主機名為 lemon20.contoso.com。
1、安裝所需軟件：
# yum -y install samba samba-client samba-common samba-winbind samba-winbind-clients krb5-workstation ntpdate
2、設(shè)置服務(wù)自啟動并啟動服務(wù)：
# chkconfig b on
# chkconfig winbind on
# service b start
# service winbind start
3、修改 /etc/hosts 文件，添加主機對應(yīng)記錄：
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.2.150 lemon20.contoso.com lemon20
4、設(shè)置 DNS 地址并與 AD 服務(wù)器同步時間：
# echo “nameserver 192.168.2.122” >> /etc/resolv.conf
# ntpdate ad.contoso.com
5、設(shè)置 Kerberos 票據(jù)（可選）：
銷毀已經(jīng)存在的所有票據(jù)：
# kdestroy
查看當(dāng)前是否還存在票據(jù)：
# klist
klist: No credentials cache found (ticket cache FILE:/tmp/krb5cc_0)
生成新的票據(jù)，注意域名大寫。
# kinit
# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal:
Valid starting Expires Service principal
08/02/16 22:35:26 08/03/16 08:35:29
renew until 08/09/16 22:35:26
6、以命令方式設(shè)置 samba 與 Kerberos，并加入 AD 域：
#authconfig –enablewinbind –enablewins –enablewinbindauth –bsecurity ads –bworkgroup=CONTOSO –brealm CONTOSO.COM –bservers=ad.contoso.com –enablekrb5 –krb5realm=CONTOSO.COM –krb5kdc=ad.contoso.com –krb5adminserver=ad.contoso.com –enablekrb5kdcdns –enablekrb5realmdns –enablewinbindoffline –winbindtemplateshell=/bin/bash –winbindjoin=administrator –update –enablelocauthorize –enablemkhomedir –enablewinbindusedefaultdomain
注意命令中的大小寫，此步驟也可以使用 authconfig-tui 完成。
7、增加 sudo 權(quán)限（可選）：
# visudo
加入下列設(shè)置：
%MYDOMAIN\\domain\ admins ALL=(ALL) NOPASSWD: ALL
8、確認(rèn)是否正確加入 AD 域：
查看 AD 的相關(guān)信息
# net ads info
查看 MYDOMAIN\USERID 的使用者帳戶
# wbinfo -u
補充：
如果啟用 selinux 的話，需要安裝 oddjobmkhomedir 并啟動其服務(wù)，這樣才能確保系統(tǒng)對創(chuàng)建的家目錄設(shè)置合適的 SELinux 安全上下文。
linux做域控服務(wù)器的介紹就聊到這里吧，感謝你花時間閱讀本站內(nèi)容，更多關(guān)于linux做域控服務(wù)器,使用Linux搭建域控服務(wù)器，輕松高效管理網(wǎng)絡(luò),LINUX有沒有WINDOWS下的域控制器的概念,如何讓 Linux 機器加入 Windows 的 AD 域的信息別忘了在本站進行查找喔。
創(chuàng)新互聯(lián)服務(wù)器托管擁有成都T3+級標(biāo)準(zhǔn)機房資源，具備完善的安防設(shè)施、三線及BGP網(wǎng)絡(luò)接入帶寬達10T，機柜接入千兆交換機，能夠有效保證服務(wù)器托管業(yè)務(wù)安全、可靠、穩(wěn)定、高效運行；創(chuàng)新互聯(lián)專注于成都服務(wù)器托管租用十余年，得到成都等地區(qū)行業(yè)客戶的一致認(rèn)可。
當(dāng)前名稱：使用Linux搭建域控服務(wù)器，輕松高效管理網(wǎng)絡(luò)(linux做域控服務(wù)器)
鏈接地址：http://fisionsoft.com.cn/article/djpodgp.html
