B2-19 Debian dans un domaine AD, LDAP

1. Pourquoi faire entrer Linux dans le domaine ?

Dans un réseau d'entreprise, les identités (comptes, mots de passe, groupes) sont rangées dans un annuaire unique. Les postes Windows en profitent naturellement : un salarié ouvre sa session sur n'importe quel poste avec le même compte. Un serveur Linux laissé à part, lui, garde ses fichiers /etc/passwd et /etc/shadow : chaque compte doit y être créé, modifié et supprimé à la main.

2. LDAP : un annuaire rangé en arbre

LDAP (Lightweight Directory Access Protocol, port 389, ou 636 en LDAPS chiffré) est le protocole qui permet de lire et d'écrire dans un annuaire. Active Directory le parle : un serveur Linux peut donc l'interroger. L'annuaire est rangé comme une arborescence : le domaine en haut, puis des unités d'organisation, puis les objets (utilisateurs, groupes, ordinateurs).

• DC (Domain Component)Un morceau du nom de domaine DNS : broceliande.lan devient DC=broceliande,DC=lan. C'est la base de recherche (base DN).
• OU (Organizational Unit)Unité d'organisation : un dossier de l'annuaire. On y range les objets et on y lie des GPO.
• CN (Common Name)Nom de l'objet lui-même : un utilisateur, un groupe, un ordinateur. Aussi utilisé pour les conteneurs par défaut (CN=Users, CN=Computers).
• DN (Distinguished Name)Chemin complet et unique d'un objet, de l'objet jusqu'à la racine. Deux objets ne peuvent pas avoir le même DN.

2.1 Les attributs d'un utilisateur

Chaque objet porte des attributs (nom = valeur). Ceux-ci servent directement à Linux :

3. Kerberos : un ticket plutôt que le mot de passe

LDAP sait qui est l'utilisateur. Pour vérifier son mot de passe sans le faire circuler sur le réseau, Active Directory utilise Kerberos (port 88). Le contrôleur de domaine joue le rôle de KDC : il délivre des tickets chiffrés, limités dans le temps, que l'utilisateur présente ensuite aux services.

4. Le DNS, condition indispensable

Un client ne trouve pas son contrôleur de domaine par son adresse IP, mais en interrogeant le DNS : Active Directory publie dans sa zone des enregistrements SRV qui indiquent où sont les services LDAP et Kerberos. Si la Debian interroge un autre DNS (celui de la box ou un DNS public), elle ne trouvera jamais le domaine.

5. Joindre la Debian au domaine : realmd et SSSD

Sous Debian, deux outils font tout le travail. realmd (commande realm) découvre le domaine, crée le compte ordinateur dans l'AD et écrit la configuration. SSSD (System Security Services Daemon) tourne ensuite en permanence : il répond aux questions du système (« qui est lea.martin ? », « son mot de passe est-il bon ? ») en interrogeant le contrôleur de domaine, et garde un cache pour continuer à fonctionner si celui-ci est momentanément injoignable.

5.1 Les commandes de la jonction

La jonction a créé l'objet ordinateur CN=SRV-LINUX dans l'UO Serveurs, le fichier /etc/krb5.keytab et le fichier de configuration /etc/sssd/sssd.conf, que l'on ajuste ensuite :

[sssd]
domains = broceliande.lan
services = nss, pam

[domain/broceliande.lan]
ad_domain = broceliande.lan
krb5_realm = BROCELIANDE.LAN
id_provider = ad
access_provider = ad
cache_credentials = True
ldap_id_mapping = True
use_fully_qualified_names = False
fallback_homedir = /home/%u
default_shell = /bin/bash

• id_provider = adLes identités (utilisateurs, groupes) viennent de l'AD par LDAP.
• ldap_id_mapping = TrueSSSD calcule l'UID Linux à partir du SID Windows : le même utilisateur a le même UID sur tous les serveurs, sans rien saisir dans l'AD.
• use_fully_qualified_namesÀ True, il faut se connecter en lea.martin@broceliande.lan ; à False, simplement lea.martin. On choisit False quand il n'y a qu'un domaine.
• fallback_homedirChemin du dossier personnel : /home/%u donne /home/lea.martin (%u = nom, %d = domaine).
• cache_credentialsGarde une empreinte du mot de passe pour se connecter même si SRV-01 est arrêté. Pratique, mais un compte désactivé dans l'AD reste utilisable hors ligne jusqu'au retour du contrôleur.

6. Qui peut se connecter, qui peut administrer

Par défaut, tous les comptes du domaine peuvent ouvrir une session sur la Debian jointe : y compris un stagiaire ou un compte de service. On restreint l'accès à des groupes AD, puis on donne sudo aux seuls administrateurs.

6.1 Accéder à un partage Windows depuis Linux

Une fois le serveur dans le domaine, un utilisateur qui possède un ticket Kerberos accède aux partages SMB de SRV-01 sans retaper son mot de passe.

7. Vérifier et dépanner

7.1 Les commandes de vérification

7.2 La démarche de dépannage

7.3 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique pendant l'intégration des serveurs Linux. Six tickets arrivent : lis le message, observe le relevé et choisis la cause. Applique la démarche de la partie 7.2.

$ realm discover broceliande.lan
realm: No such realm found
$ cat /etc/resolv.conf
nameserver 192.168.1.1

$ kinit lea.martin
kinit: Clock skew too great while getting initial credentials
$ timedatectl | grep synchronized
System clock synchronized: no

Could not chdir to home directory /home/lea.martin: No such file or directory
lea.martin@srv-linux:/$

$ id adm.jbernard
uid=1278401115(adm.jbernard) gid=1278400513(domain users)
groups=1278400513(domain users),1278401120(gg_admins_linux)
$ sudo cat /etc/sudoers.d/admins-ad
%GG_Admins_Linux@BROCELIANDE.LAN ALL=(ALL:ALL) ALL

$ id nlefevre
id: 'nlefevre': no such user
$ id lea.martin
uid=1278401107(lea.martin) gid=1278400513(domain users) ...

$ realm list | grep -E 'login-policy|permitted'
  login-policy: allow-realm-logins

8. À l'examen et en entreprise

9. L'essentiel

1. Intégrer Linux à l'AD : un seul compte par personne, vérifié partout ; un compte désactivé l'est aussi sur Linux.
2. LDAP (389, 636 en LDAPS) décrit les identités ; l'annuaire est un arbre de DC, OU et CN.
3. Un DN se lit de l'objet vers la racine : CN=Léa Martin,OU=Compta,…,DC=broceliande,DC=lan.
4. Kerberos (88) authentifie par tickets : TGT puis ticket de service ; le mot de passe ne circule pas.
5. Écart d'heure maximal : 5 minutes ; royaume en majuscules : BROCELIANDE.LAN.
6. Le domaine se trouve par le DNS (enregistrements SRV) : la Debian doit utiliser le DNS du contrôleur.
7. realm join crée le compte ordinateur, le keytab et sssd.conf ; SSSD répond ensuite à PAM et NSS, avec un cache.
8. pam-auth-update --enable mkhomedir crée le dossier personnel à la première connexion.
9. realm permit -g choisit qui se connecte ; %groupe dans /etc/sudoers.d/ choisit qui administre.
10. Dépanner dans l'ordre : realm list, id, kinit, puis autorisations et journaux SSSD.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

10. Quiz noté

11. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

12. Au labo : faire entrer SRV-LINUX dans le domaine