Joindre un domaine Active Directory 2008 avec Likewise
mars 15th, 2010 Posté dans Administration | 1 Commentaire »
Au cours de mon activité, j’ai eu besoin d’intégrer une machine Linux dans un domaine Active Directory pour pouvoir utiliser les compte de l’annuaire Active Directory (AD) depuis une machine Linux. Les intérêts sont multiples :
- Se connecter sur le Linux avec des comptes distants
- Pouvoir monter des partages distants hébergés sur un serveur de Microsoft
- Proposer des répertoires Apache protégés par un mot de passe issu de l’AD
- Utiliser une authentification AD pour un serveur proxy de type squid
- …
N’écoutant que mon courage, je commence, comme à mon habitude, par mettre en place le lien avec Winbind… Il se trouve que la distribution cible est une CentOS qui propose un assistant qui semble prometteur (dans le menu : Système / Administration / Authentification). Pour ne rien gâcher, je trouve sans trop de problèmes une kyrielle de HOWTO pour parvenir à mes fins.
Après avoir en lutté en vain quelques minutes et constatant mon cuisant échec, je commence à descendre dans les entrailles du système. Je m’attaque donc à la configuration de Kerberos et paramètre Windbind en mode ads (active directory) comme je l’aurai fait pour la mise en place d’un serveur membre du domaine. Mais là aussi, manquant de temps, je ne parviens pas à trouver la faille.
En dernier recours, je tente une recherche dans un moteur de recherche bien connu et tombe sur un outil surprenant à licence double (opensource et propriétaire) : il s’agit de Linkwise. Ce composant logiciel, d’après son éditeur permettrait :
- de joindre à un domaine AD un Linux, un Mac ou n’importe quel Unix (avec même un assistant en mode graphique pour les plus paresseux)
- d’utiliser l’authentification AD sur Linux
- de proposer une console pour faire le mappage UID/GID linux et ID Microsoft (payant)
- de propager les mêmes droits entre Windows et Linux (payant)
- compatible SSH
- un journal d’évènements et une console complète pour le suivi (payant)
- …
En fait, la couche logicielle côté Linux est totalement gratuite et semble complète. Vous tous les détails ici. Les outils payants ajoutant une interface côté AD. Les promesses sont là, quel résultat en pratique…
Installation
On télécharge l’outil après avoir renseigné ce que l’on veut (sauf le mail) dans le formulaire proposé
ou, on utilise ce lien qui pointe directement sur les logiciels à installer.
Vous pourrez alors choisir les paquetages pour votre distribution. Je vous conseille pour une utilisation encore plus facile, le téléchargement de l’interface graphique : Domain Join GUI également Open Source.
Le moins que l’on puisse dire, c’est que le choix de toutes les plateforme est large !
Configuration
Au préalable, il est indispensable de préparer le poste linux à devenir un membre du domaine.
Il est indispensable de veiller à ce que le poste linux soit parfaitement à la même heure que le serveur Active Directory (avec 5 minutes grand maximum de tolérance). Le plus simple reste d’installer un paquetage de gestion de l’heure de type ntp et de le configurer correctement. Toutes les distributions en proposent.
Il est également indispensable que le poste linux utiliser l’Active Directory comme DNS avec le bon suffixe DNS. Voici un extrait du fichier de résolution de nom : /etc/resolv.conf
# Adresse IP du serveur AD
nameserver 10.0.0.1
# Suffixe DNS : nom du domaine AD
domain local.lan
De plus, n’oubliez pas de donner un nom à votre poste. Dans notre cas, nous allons l’appeler : srv.local.lan. Voici un extrait du fichier : /etc/hosts
127.0.0.1 localhost localhost.localdomain
10.1.0.1 srv srv.local.lan
Ensuite on procède à l’installation des logiciels proprement dits. Dans le cas d’une CentOS, les fichiers récupérés sont des exécutables qu’il suffit de lancer
[root@srv Desktop]# ./LikewiseIdentityServiceOpen-5.3.0.7724-linux-i386-rpm-installer
----------------------------------------------------------------------------
Welcome to the Likewise Identity Service [Open] Setup Wizard.
----------------------------------------------------------------------------
Please read the following License Agreement. You must accept the terms of this
agreement before continuing with the installation.
Press [Enter] to continue : [Enter]
Likewise Open is provided under the terms of the GNU General
Public License (GPL version 2) and the GNU Library General
Public License (LGPL version 2.1). The additional components
listed below are covered under separate license agreements:
Samba 3.0 Client libraries and tools - GPLv2
MIT Kerberos - MIT Kerberos 5 and other licenses
OpenLDAP - OpenLDAP Public License
Novell DCE-RPC - BSD
LibXML2 - BSD
libuuid from e2fsprogs - BSD
libiconv - LGPLv2
OpenSSL - BSD
For more details and for the full text for each of these
licenses, read the LICENSES and COPYING files included with
this software.
Press [Enter] to continue :[Enter]
Do you accept this license? [y/n]: y
----------------------------------------------------------------------------
Setup is now ready to begin installing Likewise Identity Service [Open] on your computer.
Do you want to continue? [Y/n]: y
----------------------------------------------------------------------------
Please wait while Setup installs Likewise Identity Service [Open] on your computer.
Installing
0% ______________ 50% ______________ 100%
######################################
To join an Active Directory domain using a command-line interface, run:
/opt/likewise/bin/domainjoin-cli
Press [Enter] to continue :[Enter]
----------------------------------------------------------------------------
Setup has finished installing Likewise Identity Service [Open] on your computer.
On lance ensuite de la même manière l’installation du deuxième paquetage : LikewiseDomainJoinGui. Une fois l’installation achevée, les logiciels iront se positionner proprement dans le répertoire : /opt/likewise
Mise en oeuvre
On ne peut rêver plus simple. L’outil graphique est tout simple. Un simple clic depuis l’icône sur le bureau ou on le lance avec la commande :
/opt/likewise/bin/domainjoin-gui
Pour ceux qui préfère l’outil en ligne de commande l’inscription se réalise depuis la commande :
/opt/likewise/bin/domainjoin-cli join local.lan Administrateur
Une fois l’inscription réalisée, il vous suffit de redémarrer la machine pour que tout soit pris en compte. En cas d’erreur essayez de revérifier votre configuration (DNS) et votre heure !
Conclusion
Pour la petite histoire, je vous laisse quelques remarques :
- J’ai appris plus tard que le serveur AD visé était un Windows Server 2008 (Voilà peut-être l’origine de mon problème). En principe, sachez que les dernières versions de Samba sont compatibles (voici un exemple ici)
- La version payante qui ajoute le mappage UID/GID est intéressante sur le papier. Dans la pratique, même en réinscrivant plusieurs fois ma machine à l’AD, les UID/GID utilisés par Linux sont toujours restés les mêmes.
- La suite de logiciel Opensource propose bien d’autres possibilités que la simple inscription au domaine. Ainsi, en farfouillant, on trouve un module d’authentification Apache s’appuyant sur AD. (que je n’ai pas essayé)
- Pour la connexion SSH, utilisez dans la connexion deux anti-slash pour pouvoir vous connectez dans problèmes
ssh local.lan\\administrateur@linux
