Red Hat Enterprise Linux 가상 머신을 Microsoft Entra Domain Services 관리되는 도메인에 조인

필요한 패키지를 설치합니다.

VM을 관리되는 도메인에 조인하려면 VM에 몇 가지 추가 패키지가 필요합니다. 해당 패키지를 설치하고 구성하려면 yum을 사용하여 도메인 가입 도구를 업데이트 하고 설치해야 합니다.

sudo yum install adcli sssd authconfig krb5-workstation

VM을 관리되는 도메인에 조인

이제 필수 패키지가 VM에 설치되었으므로 VM을 관리되는 도메인에 조인합니다.

1. adcli info 명령을 사용하여 관리되는 도메인을 검색합니다. 다음 예제에서는 보안영역 ADDDSCONTOSO.COM을 검색합니다. 관리되는 도메인 이름을 모두 대문자로 지정합니다.

   sudo adcli info aaddscontoso.com
   

   adcli info 명령에서 관리되는 도메인을 찾을 수 없는 경우 다음의 문제 해결 단계를 검토합니다.

   • VM에서 도메인에 연결할 수 있는지 확인합니다. ping aaddscontoso.com을 시도하여 긍정적인 응답이 반환되는지 확인합니다.
   • VM이 관리되는 도메인을 사용할 수 있는 것과 동일하거나 피어링한 가상 네트워크에 배포되었는지 확인합니다.
   • 가상 네트워크의 DNS 서버 설정이 관리되는 도메인의 도메인 컨트롤러를 가리키도록 업데이트되었는지 확인합니다.

2. 먼저 adcli join 명령을 사용하여 도메인에 가입합니다. 해당 명령은 컴퓨터를 인증하는 Keytab도 만듭니다. 관리되는 도메인의 일부인 사용자 계정을 사용합니다.

   sudo adcli join aaddscontoso.com -U contosoadmin
   

3. 이제 /ect/krb5.conf을 구성하고 aaddscontoso.com Active Directory 도메인을 사용하도록 /etc/sssd/sssd.conf 파일을 만듭니다. AADDSCONTOSO.COM이 사용자의 도메인 이름으로 바뀌었는지 확인합니다:

   편집기를 사용하여 /etc/krb5.conf 파일을 엽니다:

   sudo vi /etc/krb5.conf
   

   다음 샘플과 일치하도록 krb5.conf 파일을 업데이트합니다:

   [logging]
    default = FILE:/var/log/krb5libs.log
    kdc = FILE:/var/log/krb5kdc.log
    admin_server = FILE:/var/log/kadmind.log
   
   [libdefaults]
    default_realm = AADDSCONTOSO.COM
    dns_lookup_realm = true
    dns_lookup_kdc = true
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
   
   [realms]
    AADDSCONTOSO.COM = {
    kdc = AADDSCONTOSO.COM
    admin_server = AADDSCONTOSO.COM
    }
   
   [domain_realm]
    .AADDSCONTOSO.COM = AADDSCONTOSO.COM
    AADDSCONTOSO.COM = AADDSCONTOSO.COM
   

   /etc/sssd/sssd.conf 파일을 만듭니다:

   sudo vi /etc/sssd/sssd.conf
   

   다음 샘플과 일치하도록 sssd.conf 파일을 업데이트합니다:

   [sssd]
    services = nss, pam, ssh, autofs
    config_file_version = 2
    domains = AADDSCONTOSO.COM
   
   [domain/AADDSCONTOSO.COM]
   
    id_provider = ad
   

4. /etc/sssd/sssd.conf의 사용 권한이 600이고 루트 사용자가 소유하는지 확인합니다:

   sudo chmod 600 /etc/sssd/sssd.conf
   sudo chown root:root /etc/sssd/sssd.conf
   

5. authconfig을 사용하여 AD Linux 통합을 VM에 지시합니다:

   sudo authconfig --enablesssd --enablesssd auth --update
   

6. SSSD 서비스를 시작하고 사용하도록 설정합니다:

   sudo service sssd start
   sudo chkconfig sssd on
   

VM이 도메인 조인 프로세스를 성공적으로 완료할 수 없는 경우 VM의 네트워크 보안 그룹에서 관리되는 도메인의 가상 네트워크 서브넷에 대한 TCP + UDP 포트 464의 아웃바운드 Kerberos 트래픽을 허용하는지 확인합니다.

이제 getent을 사용하여 사용자 AD 정보를 쿼리할 수 있는지 확인합니다

sudo getent passwd contosoadmin

SSH에 대한 암호 인증 허용

기본적으로 사용자는 SSH 퍼블릭 키 기반 인증을 사용하여 VM에만 로그인할 수 있습니다. 암호 기반 인증이 실패합니다. VM을 관리되는 도메인에 조인할 때 해당 도메인 계정은 암호 기반 인증을 사용해야 합니다. 다음과 같이 SSH 구성을 업데이트하여 암호 기반 인증을 허용합니다.

1. 편집기를 사용하여 sshd_conf 파일을 엽니다.

   sudo vi /etc/ssh/sshd_config
   

2. PasswordAuthentication 줄을 ‘예’로 업데이트합니다.

   PasswordAuthentication yes
   

   완료되면 편집기의 :wq 명령을 사용하여 sshd_conf 파일을 저장한 후 종료합니다.

3. 변경 내용을 적용하고 사용자가 암호를 사용하여 로그인할 수 있도록 하려면 RHEL 배포판 버전 Secure Shell 서비스를 다시 시작합니다:

   sudo service sshd restart
   

필요한 패키지를 설치합니다.

VM을 관리되는 도메인에 조인하려면 VM에 몇 가지 추가 패키지가 필요합니다. 해당 패키지를 설치하고 구성하려면 yum을 사용하여 도메인 가입 도구를 업데이트 하고 설치해야 합니다.

sudo yum install realmd sssd krb5-workstation krb5-libs oddjob oddjob-mkhomedir samba-common-tools

VM을 관리되는 도메인에 조인

이제 필수 패키지가 VM에 설치되었으므로 VM을 관리되는 도메인에 가입합니다. 다시 한번 말하지만 RHEL 배포판 버전에 적절한 명령을 사용합니다.

1. realm discover 명령을 사용하여 관리되는 도메인을 검색합니다. 다음 예에서는 AADDSCONTOSO.COM 영역을 검색합니다. 관리되는 도메인 이름을 모두 대문자로 지정합니다.

   sudo realm discover AADDSCONTOSO.COM
   

   realm discover 명령에서 관리되는 도메인을 찾을 수 없는 경우 다음의 문제 해결 단계를 검토합니다.

   • VM에서 도메인에 연결할 수 있는지 확인합니다. ping aaddscontoso.com을 시도하여 긍정적인 응답이 반환되는지 확인합니다.
   • VM이 관리되는 도메인을 사용할 수 있는 것과 동일하거나 피어링한 가상 네트워크에 배포되었는지 확인합니다.
   • 가상 네트워크의 DNS 서버 설정이 관리되는 도메인의 도메인 컨트롤러를 가리키도록 업데이트되었는지 확인합니다.

2. 이제 kinit 명령을 사용하여 Kerberos를 초기화합니다. 관리되는 도메인의 일부인 사용자를 지정합니다. 필요한 경우 Microsoft Entra ID의 그룹에 사용자 계정을 추가합니다.

   다시 한번 강조하지만 관리되는 도메인 이름은 모두 대문자로 입력해야 합니다. 다음 예제에서 contosoadmin@aaddscontoso.com이라는 이름의 계정은 Kerberos를 초기화하는 데 사용됩니다. 관리되는 도메인의 일부인 고유의 사용자 계정을 입력합니다.

   sudo kinit contosoadmin@AADDSCONTOSO.COM
   

3. 마지막으로 realm join 명령을 사용하여 관리되는 도메인에 VM을 조인합니다. contosoadmin@AADDSCONTOSO.COM와 같이 이전의 kinit 명령에서 지정한 관리되는 도메인의 일부인 동일한 사용자 계정을 사용합니다.

   sudo realm join --verbose AADDSCONTOSO.COM -U 'contosoadmin@AADDSCONTOSO.COM'
   

VM을 관리되는 도메인에 조인하는 데는 몇 분 정도 걸립니다. 다음의 예제 출력에서는 VM이 관리되는 도메인에 성공적으로 조인되었음을 보여 줍니다.

Successfully enrolled machine in realm

SSH에 대한 암호 인증 허용

기본적으로 사용자는 SSH 퍼블릭 키 기반 인증을 사용하여 VM에만 로그인할 수 있습니다. 암호 기반 인증이 실패합니다. VM을 관리되는 도메인에 조인할 때 해당 도메인 계정은 암호 기반 인증을 사용해야 합니다. 다음과 같이 SSH 구성을 업데이트하여 암호 기반 인증을 허용합니다.

1. 편집기를 사용하여 sshd_conf 파일을 엽니다.

   sudo vi /etc/ssh/sshd_config
   

2. PasswordAuthentication 줄을 ‘예’로 업데이트합니다.

   PasswordAuthentication yes
   

   완료되면 편집기의 :wq 명령을 사용하여 sshd_conf 파일을 저장한 후 종료합니다.

3. 변경 내용을 적용하고 사용자가 암호를 사용하여 로그인하게 하려면 SSH 서비스를 다시 시작합니다.

   sudo systemctl restart sshd