Интеграция SSSD AD - Пояснение на компьютере для присоединения к AD

Задача

Прояснить Компьютер, А не пользователь, при интеграции Linux-сервера с доменом Windows.

Задний план

Возникла путаница, потому что большая часть информации SSSD AD сосредоточена на аутентификации пользователя, однако, очевидно, в домене Windows компьютер, на который пользователи входят в систему, уже должен быть в домене (как субъект службы?). Мне кажется, мне нужна помощь, чтобы докопаться до сути.

Вопрос - Компьютер для присоединения к домену Windows.

Я считаю, что есть несколько способов. Пожалуйста, предложите, правильно ли ниже.

1. Бегать царство в коробке с Linux.
2. Запустите Samba net ads join в окне Linux (Создание Host Keytab с помощью Samba).
3. Бегать setSPN и ktpass в контроллере домена

Что касается использования области и самбы, я полагаю, что эта команда также присоединит поле Linux к домену и AD. Это правильно? Также укажите ресурсы, чтобы понять, что происходит с компьютером и доменом, если таковые имеются.

Для этих способов требуются учетные данные администратора или учетные данные пользователя, у которого есть разрешение на добавление компьютера в домен, что не всегда доступно. Затем я полагаю, что нужно попросить администратора домена Windows сделать то, что делают realm и samba. Которые, как мне кажется, связаны ниже, но нуждаются в исправлениях / подтверждении, если они верны.

1. Создайте запись A и запись PTR обратного просмотра в доменном DNS.
2. Добавьте компьютер для Linux в поле «Управление компьютерами». UPN коробки будет <linux hostname>@<realm or domain>.
3. Создайте SPN для Linux с помощью setSPN. SPN похож на host/<name>@<realm or domain>.
4. Создайте keytab с помощью ktpass. SPN указывается с помощью -princ, а UPN указывается с помощью -mapuser.
5. Скопируйте keytab в окно linux как /etc/krb5.keytab и измените разрешения. (Рассматривайте как файл pem в ~ / .ssh /)

Вопрос - UPN и SPN?

Зачем использовать несколько идентификаторов для одного и того же объекта (linux box)? Почему требуется SPN?