Différences

Ci-dessous, les différences entre deux révisions de la page.

--- tuto:linux_divers:joindre_fedora_ad [27/09/2018 18:33]
dani [Configurer sssd]
+++ tuto:linux_divers:joindre_fedora_ad [28/09/2018 09:12] (Version actuelle)
dani [Modification SELinux pour les certificats utilisateurs]
@@ Ligne 5: / Ligne 5: @@
 Dans cet exemple:
   * Le domaine est FWS.FR
-  * Le poste à joindre se nomme dani-laptop.fws.fr
+  * Le poste à joindre se nomme dani-laptop
-  *
 ===== Installer les paquets =====
 <code bash>
-sudo dnf install sssd-ad adcli oddjob-mkhomedir krb5-workstation
+dnf install sssd-ad adcli oddjob-mkhomedir krb5-workstation
 </code>
 ===== Configurer sssd =====
 <code bash>
-sudo su -
+export DOMAIN="FWS.FR"
-cat <<"_EOF" > /etc/sssd/sssd.conf
+export HOST="laptop-dani"
+</code>
+<code bash>
+export FQDN=$HOST.$(echo $DOMAIN | awk '{ print tolower($0) }')
+cat <<_EOF > /etc/sssd/sssd.conf
 [sssd]
-services = nss, pam
+services = nss, pam, pac
 config_file_version = 2
-domains = __DOMAIN__
+domains = $DOMAIN
-default_domain_suffix = __DOMAIN__
+default_domain_suffix = $DOMAIN
 [nss]
@@ Ligne 28: / Ligne 31: @@
 [pam]
-[domain/LAPIOLE.ORG]
+[domain/$DOMAIN]
 id_provider = ad
 access_provider = ad
-ad_hostname = __HOSTNAME__
+ad_hostname = $FQDN
 fallback_homedir = /home/%d/%u
 default_shell = /bin/false
@@ Ligne 37: / Ligne 40: @@
 krb5_store_password_if_offline = true
 access_provider = ad
-ad_access_filter = (objectClass=organizationalPerson)
+ad_access_filter = (&(objectCategory=person)(objectClass=user)(primaryGroupId=513))
-# Membership password is updated with net ads
-#ad_maximum_machine_account_password_age = 0
 enumerate = true
 _EOF
 chmod 600 /etc/sssd/sssd.conf
-sed -i -e 's/__DOMAIN__/FWS.FR/g' \
-       -e 's/__HOSTNAME__/dani-laptop.fws.fr/g' \
-       /etc/sssd/sssd.conf
 </code>
 ===== Joindre le domaine =====
 <code bash>
-adcli join FWS.FR --login-user=Administrator --host-fqdn=dani-laptop.fws.fr
+adcli join $DOMAIN --host-fqdn=$FQDN
 </code>
@@ Ligne 56: / Ligne 54: @@
 <code bash>
 authconfig --enablesssd --enablesssdauth --enablemkhomedir --update
+</code>
+Il vaut mieux s'assurer que sss est utilisé après files dans nsswitch, sinon, plus grand chose ne marche
+<code bash>
+sed -i -e 's/sss files/files sss/g' /etc/nsswitch.conf
 </code>
@@ Ligne 61: / Ligne 64: @@
 <code bash>
 systemctl enable --now sssd
+</code>
+===== Modification SELinux pour les certificats utilisateurs =====
+<code bash>
+semanage fcontext -a -t home_cert_t "/home/[a-zA-Z\d]+(\.[a-zA-Z\d]+)+?/\w+/.(cert|pki)(/.*)?"
+restorecon -Rv /home
 </code>