Astra linux domain

Присоединение Astra Linux к домену

Astra Linux поддерживает интеграцию с двумя типами доменов:

• Astra Linux Directory (ALD) — собственный домен Astra Linux;
• Windows Active Directory (AD) — домен Microsoft.

Ниже — пошаговые инструкции для каждого варианта.

1. Присоединение к Astra Linux Directory (ALD)

Шаг 1. Установите инструмент настройки:

sudo apt-get install fly-admin-ald-client

Шаг 2. Откройте панель управления → раздел «Сеть» → запустите «Настройка ALD клиента Fly».

Шаг 3. В окне настроек укажите:

• Сервер — адрес контроллера домена;
• Имя пользователя / Пароль — учётные данные для подключения к серверу;
• Изменить сетевые настройки сервера — установите флажок и укажите IP‑адрес сервера контроллера домена;
• Изменить сетевые настройки клиента — установите флажок, задайте IP‑адрес клиентского ПК и имя хоста (например, flybi).

Шаг 4. Перезагрузите компьютер:

sudo reboot

Шаг 5. Создайте службы Astra Linux Directory:

ald-admin service-add postgres/<имя_хоста_клиента>
ald-admin sgroup-svc-add postgres/<имя_хоста_клиента> --sgroup=mac
ald-admin service-add HTTP/<имя_хоста_клиента>
ald-admin sgroup-svc-add HTTP/<имя_хоста_клиента> --sgroup=mac

Шаг 6. Создайте keytab‑файлы (используя Kerberos):

• Для PostgreSQL:keytab="/etc/postgresql/13/main/flybidb.keytab"
  ald-client update-svc-keytab postgres/<имя_хоста_клиента> --ktfile="$keytab"
  chown postgres "$keytab"
  chmod 644 "$keytab"
  
• Для Apache2:keytab="/etc/apache2-FlyBI/flybihttp.keytab"
  ald-client update-svc-keytab HTTP/<имя_хоста_клиента>.domain --ktfile="$keytab"
  chown www-data "$keytab"
  chmod 644 "$keytab"
  

2. Присоединение к Windows Active Directory (AD)

Шаг 1. Установите инструмент настройки:

sudo apt install fly-admin-ad-client

Шаг 2. Откройте панель управления → раздел «Сеть» → запустите «Настройка клиента Active Directory Fly».

Шаг 3. В окне «Настройка Active Directory» укажите:

• Контроллер домена — адрес сервера контроллера домена;
• Администратор домена / Пароль — учётные данные для подключения.

Шаг 4. Нажмите «Подключиться», затем перезагрузите компьютер:

sudo reboot

Шаг 5. Создайте keytab‑файлы (аналогично ALD, см. выше).

Шаг 6. Создайте службы HTTP и postgres через ktpass:

ktpass -princ HTTP/<имя_хоста_клиента> -mapuser flybihttp -pass 123 -ptype KRB5_NT_PRINCIPAL -out C:\tmp\flybihttp.keytab
ktpass -princ postgres/<имя_хоста_клиента> -mapuser flybidb -pass 123 -ptype KRB5_NT_PRINCIPAL -out C:\tmp\flybidb.keytab

Шаг 7. Назначьте права на keytab‑файлы:

chown postgres "/etc/postgresql/13/main/flybidb.keytab"
chmod 644 "/etc/postgresql/13/main/flybidb.keytab"
chown www-data "/etc/apache2-FlyBI/flybihttp.keytab"
chmod 644 "/etc/apache2-FlyBI/flybihttp.keytab"

Шаг 8. Проверьте связь keytab‑файлов с Kerberos:

kinit -V -kt /etc/apache2-FlyBI/flybihttp.keytab -p HTTP/<имя_хоста_клиента>.domain.lacal @ DOMAIN.LOCAL
kinit -V -kt /etc/postgresql/13/main/flybidb.keytab -p postgres/<имя_хоста_клиента>.domain.lacal@DOMAIN.LOCAL

Важные замечания

1. Права доступа. Все команды требуют прав суперпользователя (sudo).
2. Имена хостов. Длина имени хоста не должна превышать 15 символов (ограничение NetBIOS).
3. DNS‑настройки. Убедитесь, что в /etc/resolv.conf указаны:
   search — домен (например, samdom.example.com);
   nameserver — IP‑адрес DNS‑сервера домена.
4. Синхронизация времени. Для корректной работы Kerberos время на клиенте и сервере должно совпадать.
5. Репозитории. Перед установкой пакетов убедитесь, что настроены репозитории Astra Linux (файл /etc/apt/sources.list).
6. SSSD‑настройка. Чтобы избежать конфликтов имён локальных и доменных пользователей, добавьте в /etc/sssd/sssd.conf:use_fully_qualified_names = True
   Затем перезапустите службу:sudo systemctl restart sssd.service
   
7. Winbind. Компания‑разработчик Astra Linux не рекомендует использовать Winbind для аутентификации.

Проверка присоединения

• Убедитесь, что имя хоста отображается в списке компьютеров домена (на контроллере домена).
• Попробуйте войти под доменной учётной записью:su - user01@domain.local
  
• Проверьте создание домашнего каталога:pwd # должно быть /home/user01@domain.local
  
• Убедитесь в корректности членства в группах:id # вывод должен содержать доменные группы