Sites SSSD com o Active Directory

Question

Eu sou um administrador do Windows que gerencia nossa infraestrutura de AD. Nossa equipe de Linux tem construído algumas VMs do CentOS 7 e configurando-as para usar o SSSD para ingressar no domínio.

A configuração inicial era a consulta de um controlador de domínio em um site diferente (não do domínio, como foi gravado anteriormente), por isso pedi a eles que analisassem o uso de sites do AD com SSSD.

O servidor agora retorna os 3 registros DC _ldap do DNS. A primeira tentativa é de um site diferente, por isso não é possível acessá-lo. O segundo funciona e recupera o nome correto do site. Por um período de tempo (não sei exatamente quanto tempo) ele irá usar o DC que respondeu e depois que o tempo passou, ele vai começar de volta recebendo os 3 registros _ldap do DNS.

Isso causa alguns atrasos no registro em que fomos solicitados a resolver. Se definirmos o nome do site na configuração, ele funcionará o tempo todo, mas temos que considerar que restauramos essas VMs de um backup para outro site em que o nome do site definido estaria errado.

Eu não conheço muito a configuração no CentOS, mas existe uma maneira de isso funcionar corretamente ou é isso que já está fazendo?

    

Answer 1

Você precisará informar ao SSSD qual site usar.

[domain/example.com]
dns_discovery_domain = MyLocalSite._sites.example.com

Isso fará a seguinte pesquisa de DNS para o ldap / kerberos

dig SRV +short _ldap._tcp.MyLocalSite._sites.example.com
dig SRV +short _kerberos._tcp.MyLocalSite._sites.example.com

Você pode obter uma lista desses sites a partir do DNS do AD ou Sites e Serviços

IMHO A Microsoft faz um trabalho muito ruim ao fazer isso, enquanto aguarda sua taxa de mudança, você pode querer configurar um subdomínio de descoberta ou usar FreeIPA

Exemplo de consulta dig SRV +short _ldap._tcp.MyLocalSite._sites.example.com

DNS de sites e serviços da Microsoft

_ldap._tcp.MyLocalSite._sites.example.com 600 IN SRV 0 100 389 dc1.example.com

DNS dos locais da IPA

_ldap._tcp.MyLocalSite._sites.example.com 600 IN SRV 0 100 389 dc1.example.com
_ldap._tcp.MyLocalSite._sites.example.com 600 IN SRV 100 100 389 dc2.example.com

O IPA sempre listará todos os servidores ipa quando você configurar locais e modificará a prioridade de registros SRV do dns com base no geoDNS, esperamos que o Server 2016 adicione suporte a isso, não tenho exemplos de como usar o servidor 2016 para fornecer registros SRV locais .

Se você quiser criar manualmente um site em outro domínio, nada poderá dizer que não possa.

Exemplo

SSSD.conf

dns_discovery_domain = MyLocalSite._linux_sites.example.com

DNS

_ldap._tcp.MyLocalSite._linux_sites.example.com 600 IN SRV 0 100 389 dc1.example.com
_ldap._tcp.MyLocalSite._linux_sites.example.com 600 IN SRV 100 100 389 dc2.example.com