Melhor prática atual para usar o AD no auth Linux (2013)

Question

Até onde sei, existem 3 maneiras (comuns) de usar o Active Directory como os hosts de autenticação e autorização para Linux:

1. LDAP
2. Kerberos
3. Samba / Winbind

Existe um consenso (atual) sobre qual método é a melhor prática?

Eu nunca fui totalmente claro sobre os prós / contras de cada método para começar, mas cada documento / tutorial diz uma maneira diferente e não muitos deles são datados ou explicam por que eles estão usando um método específico.

    

Answer 1

A abordagem que eu uso agora é SSSD . É bastante indolor e os arquivos de configuração estão limpos. O SSSD pode ser ativado no momento da instalação ou apenas executado por meio da interface de usuário do comando authconfig . Recentemente converti ~ 200 servidores Linux para SSSD da autenticação local e usei as etapas abaixo.

Isto assume um sistema similar ao da Red Hat (RHEL, CentOS, Fedora) ...

1) Faça o download do SSSD.

yum install sssd

2). Modifique as configurações do authconfig do sistema.

authconfig --enablesssd --ldapserver=ldap://dc1.mdmarra.local --ldapbasedn="dc=mdmarra,dc=local" --enablerfc2307bis --enablesssdauth --krb5kdc=dc1.mdmarra.local --krb5realm=MDMARRA.LOCAL --disableforcelegacy --enablelocauthorize --enablemkhomedir --updateall

3). Atualize o conteúdo do arquivo de configuração /etc/sssd/sssd.conf com o seguinte:

# sssd.conf

[domain/default]

ldap_id_use_start_tls = False
ldap_schema = rfc2307bis
ldap_search_base = dc=mdmarra,dc=local
krb5_realm = MDMARRA.LOCAL
krb5_server = dc1.mdmarra.local
id_provider = ldap
auth_provider = krb5
chpass_provider = krb5
ldap_uri = ldap://dc1.mdmarra.local,ldap://dc2.mdmarra.local
krb5_kpasswd = dc1.mdmarra.local,dc2.mdmarra.local
krb5_kdcip = dc1.mdmarra.local,dc2.mdmarra.local
cache_credentials = True
ldap_tls_cacertdir = /etc/openldap/cacerts
ldap_force_upper_case_realm = True
ldap_user_object_class = person
ldap_group_object_class = group
ldap_user_gecos = displayName
ldap_user_home_directory = unixHomeDirectory
ldap_default_bind_dn = [email protected]
ldap_default_authtok_type = password
ldap_default_authtok = fdfXb52Ghk3F

[sssd]
services = nss, pam
config_file_version = 2

domains = default

[nss]
filter_users = root,ldap,named,avahi,haldaemon,dbus,radiusd,news,nscd

[pam]

[sudo]

[autofs]

[ssh]