Во-первых, вы должны зарегистрироваться и вернуть DNS-запись для новых серверов Linux. Зарегистрируйте это в домене Windows.

Во-вторых, на серверах Linux укажите DNS-преобразователь в Windows и измените / etc / hosts в Linux для правильных полей.

В-третьих, вы должны установить приложения / модули / библиотеки Kerberos5 и winbind.

В-четвертых, настройте /etc/krb5.conf с помощью:

[libdefaults]
    default_realm = YOUR.FULL.DOMAIN.WITH.UPPER.CHARS

[realms]
    YOUR.FULL.DOMAIN.WITH.UPPER.CHARS = {
            kdc = list of IPs windows domain servers
            admin_server = one ip for master domain server
    }

[domain_realm]
    your.full.comain.with.lover.chars = YOUR.FULL.DOMAIN.WITH.UPPER.CHARS

[logging]
#example logging
    kdc = FILE:/var/log/kerberos/krb5kdc.log
    admin_server = FILE:/var/log/kerberos/kadmin.log
    default = FILE:/var/log/kerberos/krb5lib.log

В-пятых, настройте /etc/samba/smb.conf:

[global]
workgroup = YOUR.SHORT.DOMAIN.WITH.UPPER.CASE
netbios name = YOUR.SERVER.NAME.WITH.UPPER.CASE.WITHOUT.DOMAIN
realm = YOUR.FULL.DOMAIN.WITH.UPPER.CHARS
security = ads
password server = windows.ip.server.what.allows.password.change
wins server = as.above.supports.wins.messages
wins proxy = no
kerberos method = system keytab
dedicated keytab file = /etc/krb5.keytab
server string = write what you want using %h as host name
dns proxy = no
idmap config * : backend = rid
idmap config * : range = 10000-20000
winbind use default domain = Yes
winbind enum users = Yes
winbind enum groups = Yes
winbind nested groups = Yes
winbind separator = +
winbind refresh tickets = yes
template shell = /bin/bash
template homedir = /home/%D/%U
preferred master = no
inherit acls = Yes
map acl inherit = Yes
acl group control

В-шестых, убедитесь, что вы можете подключиться временно с помощью любого пользователя:

wbinfo -t   #test only
net getdomainsid  #should print local and domain identifier
wbinfo -u   #domain user list, may take long time for many users
wbinfo -g   #domain group list

В-седьмых, создайте учетную запись технического пользователя, пароль которой никогда не истекает и не может быть изменен. Остальные оставляют значение по умолчанию. Соберите этого пользователя в отдельный каталог AD :)

В-восьмых, сгенерируйте keytab:

net ads keytab create -U your.technical.user@YOUR.FULL.DOMAIN.WITH.UPPER.CHARS

затем проверьте, существует ли /etc/krb5.keytab

Теперь вы можете настроить другие службы, особенно используя помощник ntlm. Проверить подключение можно с помощью:

ntlm_auth --username UPPER.CASE.SHORTNAME.DOMAIN+your.technical.username

напишите пароль, и вы должны увидеть статус:

NT_STATUS_OK: Success (0x0)

Сейчас вы можете настроить PAM для аутентификации многих сервисов, но я этого не делал. Я успешно использую эту конфигурацию с аутентификацией apache2.2 ntlm. Я видел конфигурацию pam для ssh и Xsession.

Основная идея в том, что только winbind аутентифицируется в Active Directory. Все остальные сервисы каким-либо образом аутентифицируются локально для winbind. Winbind является частью самбы. Если вам не нужна samba, установите только winbind, это установит некоторые библиотеки samba.

Иногда при настройке подключения wbinfo не удается подключиться. Затем вы должны подождать некоторое время, 5 или более минут для распространения информации о домене.

Конечно, время на всех машинах должно быть синхронизированным. Настройте для этого NTP. Я использую debian, но ubuntu делает все похожим на debian :) удачи.

Должен признать, что со временем я забыл ответить и закрыть эту ветку. Следуя этим инструкциям вместе с созданием правильной конфигурации SSSD, мои проблемы были решены: http://ubuntuforums.org/showthread.php?t=1924660

Как вы создавали SPN для клиентов?

У меня были хорошие результаты с помощью Samba для этого (чистая реклама присоединиться).