Für eine typische SLES 15-Workstation oder einen Server, der AD-basierte Benutzer und Anmeldungen benötigt, verwenden Sie das YaST- User Logon ManagementModul und wählen Sie Microsoft Active Directory für Identität und Authentifizierung aus. Dies ist der SSSD-basierte Ansatz von SUSE. In diesem Beispiel wird ein fiktiver Host mit dem Namen „<Hostname>“ linux01und die Domäne „<Domänenname>“ verwendet ad.example.com. Die Vorgehensweise ist anwendbar, wenn der Client die AD-DNS- und Zeitdienste erreichen kann und Sie über eine autorisierte Computerregistrierungsberechtigung verfügen.
Dieses Verfahren orientiert sich an der Sicherheits- und Härtungsanleitung für SLES 15 SP7 von SUSE. Ältere Service Packs können abweichende YaST-Bildschirme oder Paketdetails aufweisen. Verwenden Sie daher die Anleitung, die zu Ihrem installierten Service Pack passt. Falls Sie NTLM-Unterstützung oder Gesamtstrukturübergreifende Vertrauensstellungen benötigen, empfiehlt SUSE das separate Modul „Windows-Domänenmitgliedschaft“ auf Basis von Winbind als besser geeignete Lösung.
Die AD-Erkennung basiert auf DNS-Einträgen, und die Kerberos-Authentifizierung benötigt eine genaue Uhrzeit. Konfigurieren Sie den SLES-Client so, dass er den DNS-Server verwendet, der die AD-Domäne und ihre Domänencontroller auflösen kann. In einer typischen Konfiguration bedeutet dies die Verwendung des AD-DNS-Servers anstelle eines öffentlichen Resolvers. Synchronisieren Sie den Client mit der für Ihre Domäne zugelassenen Zeitquelle.
Öffnen Sie in YaST Network Settingsdie Option „DNS-Server“ Hostname/DNSund geben Sie Name Server 1die Adresse des AD-DNS-Servers ein. Die Adresse in der Abbildung dient nur als Platzhalter. Überprüfen Sie anschließend den lokalen Hostnamen und den Zeitstatus.
hostname
timedatectl statusVergleichen Sie den Computernamen mit dem in Active Directory registrierten Namen. Bei Abweichungen bietet der SUSE-Eintrittsdialog ein entsprechendes AD hostnameFeld. Deaktivieren Sie die Firewall nicht als Abkürzung für die Erkennung; bitten Sie stattdessen Ihr Netzwerkteam, den erforderlichen Client-zu-Domänencontroller-Datenverkehr gemäß den Richtlinien Ihrer Organisation zuzulassen. SUSE weist außerdem darauf hin, dass Namen mit der Endung „.cd“ .localKonflikte mit Multicast-DNS verursachen können. Überprüfen Sie daher Ihre DNS-Konfiguration, falls dies Ihre Domänensuffix ist.
Öffnen Sie in YaST die Option „Benutzeranmeldungsverwaltung“ User Logon Management. Wählen Sie für dieses Verfahren nicht die Option „Benutzeranmeldungsverwaltung“ aus Windows Domain Membership: SUSE dokumentiert dieses Modul als Winbind-basiert, während die Benutzeranmeldungsverwaltung die auf SSSD basierende Option ist und im Allgemeinen für die AD-Authentifizierung bevorzugt wird.
Öffnen Sie die Change SettingsEinstellungen, wählen Sie die entsprechende Option aus Add Domainund geben Sie den DNS-Namen der Domäne ein, z. B. ad.example.com. Stellen Sie sowohl den Identitätsdienst als auch den Authentifizierungsdienst auf ein Microsoft Active Directoryund stellen Sie sicher, dass Enable the domaindie Option ausgewählt ist.
Behalten Sie die übrigen Standardeinstellungen bei, es sei denn, Ihre Umgebung erfordert einen bestimmten AD-Hostnamen oder eine feste Liste von Domänencontrollern. Wenn die automatische DNS-Erkennung nicht geeignet ist, geben Sie die von Ihrem AD-Team bereitgestellten Domänencontroller-Hostnamen ein. Wählen Sie diese Option, OKdamit YaST fehlende Software installieren und die Erreichbarkeit eines Controllers überprüfen kann.
Wenn YaST meldet, dass ein AD-Server gefunden wurde, der Computer aber noch nicht registriert ist, geben Sie das autorisierte Registrierungskonto und -kennwort ein. Der von SUSE bereitgestellte Dialog verwendet ein AD-Administratorkonto. Befolgen Sie daher den von Ihrem Directory-Team genehmigten Prozess zur Computerregistrierung und geben Sie das Kennwort niemals in einem Skript oder Artikel an. Falls der Dialog keinen Server findet, führen Sie erneut DNS- und Hostnamenprüfungen durch, bevor Sie es noch einmal versuchen.
Aktivieren Sie diese Option nach der Registrierung Allow Domain User Logon. Entscheiden Sie anhand der Benutzerdatenrichtlinie des Servers, ob Sie sie aktivieren möchten Create Home Directories. Dadurch werden beim ersten Anmelden lokale Home-Verzeichnisse für AD-Benutzer erstellt. Dies ist nützlich für Rechner, die lokale Home-Daten beibehalten sollen, erstellt oder verwaltet jedoch kein Benutzerkonto in Active Directory.
Wenn Active Directory (AD) bereits die Attribute der einzelnen Benutzer bereitstellt UnixHomeDirectory, überprüfen Sie, ob diese gemäß Ihrer Verzeichnisstruktur korrekt befüllt und verfügbar sind. Benötigt der Client einen Fallback-Pfad, konfigurieren Sie diesen beispielsweise mit dem Befehl Service Options„> Name switch>“ . SUSE dokumentiert, dass ein Fallback-Pfad verwendet wird, wenn kein AD-Pfad angegeben ist; in diesem Fall hat der Clientwert Vorrang. Wählen Sie einen Fallback-Pfad erst nach Prüfung Ihrer Home-Verzeichnisrichtlinie aus.Extended Optionsfallback_homedir/home/%uoverride_homedir
Speichern Sie die Einstellungen und überprüfen Sie die resultierende Konfigurationsübersicht. Wenn das System auch Samba verwendet, wählen Sie die Option zum Überschreiben der Samba-Konfiguration nur dann aus, wenn diese Integration beabsichtigt ist; dies ist unabhängig von der Aktivierung der SSSD-basierten Benutzeranmeldung.
Prüfen Sie, ob SSSD aktiv ist, und fragen Sie dann ein echtes Domänenkonto mit dem für Ihre Domäne genehmigten Namensformat ab. Ersetzen Sie in diesem Beispiel < Domänenname EXAMPLE> und alice<Testkonto> durch den Kurznamen der Domäne und verwenden Sie ein vorhandenes Testkonto.
systemctl status sssd
getent passwd 'EXAMPLE\alice'Ein zurückgegebener passwd-Eintrag bestätigt, dass NSS das Konto auflösen kann; er beweist jedoch nicht allein, dass sich der Benutzer authentifizieren oder auf Anwendungen zugreifen kann. Testen Sie eine interaktive Anmeldung mit den Domänenanmeldeinformationen mithilfe des dokumentierten Formulars DOMAIN_NAME\USER_NAMEin der Konsole oder im Display-Manager. Führen Sie nach der Anmeldung einen Befehl aus, klistum zu prüfen, ob die Sitzung über ein Kerberos-Ticket verfügt.
Wenn SSSD ausgeführt wird, die Benutzerabfrage aber fehlschlägt, überprüfen Sie den vollqualifizierten Domänennamen, den DNS-Server, den Hostnamen sowie die Identitäts- und Authentifizierungseinstellungen in YaST. Wenn die Abfrage funktioniert, die Anmeldung aber fehlschlägt, überprüfen Sie, ob das Konto aktiviert ist, das Passwort gültig ist und der Client den Domänencontroller erreichen kann. Schließen Sie den Vorgang erst ab, wenn sich ein berechtigter Testbenutzer anmelden kann, das erwartete Verhalten des Home-Verzeichnisses bestätigt wurde und die erforderlichen Serverdienste weiterhin funktionieren.
Befolgen Sie die SP7-Prozedur von SUSE, um den FIPS-Modus zu aktivieren, starten Sie das System sicher neu, überprüfen Sie die aktive Richtlinie und prüfen Sie, ob Ihre Compliance-Anforderung validierte Module erfordert.
Vergleichen Sie YaST und cryptsetup für ein neues verschlüsseltes SLES-Datenvolume, wählen Sie LUKS1 oder LUKS2 und überprüfen Sie das Verhalten beim Entsperren und Mounten.
Richten Sie RMT auf SLES 15 ein, spiegeln Sie berechtigte Repositories und überprüfen Sie die HTTPS-Registrierung und den Paketzugriff von einem Testclient aus.
Verbinden Sie SLES 15 mit AD mithilfe der SSSD-basierten Anmeldeverwaltung von YaST und überprüfen Sie anschließend die Verzeichnissuche, die Domänenanmeldung und die Kerberos-Tickets.
Richten Sie den richtigen Live-Patching-Pfad für SLES 16.0 oder 15 SP7 ein, wenden Sie geeignete Kernel-Fixes an und überprüfen Sie, was aktiv ist, ohne es mit einem Kernel-Update zu verwechseln, das einen Neustart erfordert.
SLES 15 SP5 kann online auf SP6 migriert werden, jedoch muss jeder Knoten neu gestartet werden. Verwenden Sie ein getestetes Rolling Upgrade oder eine Blue-Green-Umstellung, um die Erreichbarkeit der Workloads aufrechtzuerhalten.
Erstellen, verfeinern und überprüfen Sie ein AppArmor-Profil mit minimalen Berechtigungen unter SLES 15 SP7, mit einem deutlichen Hinweis auf den SELinux-Standard von SLES 16.
Verwenden Sie das von SUSE unterstützte STIG-Profil, um SLES 15 zu scannen, Korrekturmaßnahmen zu testen, verbleibende Ergebnisse zu überprüfen und Bewertungsnachweise zu sichern.
Verfolgen Sie eine fehlgeschlagene Cockpit-Verbindung über DNS, Port 9090, den systemd-Socket, firewalld, TLS und die Anmeldeeinstellungen anhand der aktuellen SUSE-Anleitung.
Erstellen Sie eine redundante Ethernet-Verbindung auf SLES 15 mit YaST und Wicked, konfigurieren Sie Active-Backup-Bonding und überprüfen Sie beide Ports sowie das Failover.
