Active Directory를 사용하여 Linux 클라이언트 인증-도메인 가입 및 로그인

도메인 가입 및 로그인

네 트워크, PAM, NSS 및 Samba Windbind가 모두 제대로 구성되었으므로 이제 Linux 컴퓨터를 도메인에 가입시킬 차례입니다. 이를 위해 Samba NET 명령을 사용합니다. 셸 프롬프트에서 "net ads join –U <관리자 이름>"을 실행합니다. <관리자 이름>에는 컴퓨터를 도메인에 포함시킬 수 있는 권한을 가진 계정의 이름을 넣습니다.

 

net 명령은 사용자 암호를 묻습니다. 모두 정상적으로 작동할 경우 net 명령은 해당 컴퓨터를 도메인에 포함시킵니다. 새로 만들어진 컴퓨터 계정을 Active Directory 사용자 및 컴퓨터를 사용하여 찾을 수 있습니다.

 

wbinfo 라는 Windbind 테스트 도구를 사용하여 가입 상태를 테스트할 수 있습니다. wbinfo –t를 실행하면 컴퓨터와 도메인 간의 트러스트 관계를 테스트합니다. wbinfo –u를 실행하면 도메인의 모든 사용자를 나열하며, wbinfo –g는 모든 그룹을 나열합니다.

 

Linux 컴퓨터를 도메인에 성공적으로 가입시켰으면 이제 Active Directory 사용자 계정과 암호를 사용하여 로그인해 볼 차례입니다. Linux 컴퓨터에서 로그오프한 다음 Active Directory 사용자 이름으로 로그인합니다. 모두 제대로 작동한다면 로그인이 가능해야 합니다.

 

 

작동하지 않을 경우

Linux 컴퓨터가 Windbind를 사용하여 Active Directory와 인증하도록 설정하는 것은 간단한 프로젝트가 아닙니다. 많은 사항을 구성해야 하므로, 잘못될 수 있는 영역도 많습니다. 각 Linux 버전과 Samba 버전이 약간씩 다르다는 사실도 어느 정도 문제가 됩니다. 그러나 상황을 파악하기 위해 살펴볼 수 있는 곳이 몇 군데 있습니다.

 

첫 번째로 /var/log/messages에 저장되는 Linux 시스템 로그 파일이 있습니다. Samba는 누락된 파일, 잘못된 구성과 같은 중대한 이벤트에 대한 메시지를 이 파일에 저장합니다. 시스템 로그 파일 외에 Samba 및 Windbind 로그 파일도 있습니다. 이 파일들은 /var/log/samba에 있으며, 몇 가지 추가 정보를 제공할 것입니다.

 

Windbind 에서 보내는 로그 메시지의 상세 수준(및 그 볼륨)을 늘릴 수 있습니다. 시작 스크립트를 수정하여 디버그 수준을 설정하면 됩니다. /etc/init.d/winbind shell 스크립트를 편집하여 winbindd 명령에 "-d 5"를 추가합니다. 그러면 디버그 수준이 5로 증가하며(가능한 값의 범위는 1 ~ 10), 따라서 Windbind는 더 자세한 오류 메시지를 생성하게 됩니다.

 

Windbind 가 DC와 통신하는 수준까지 이르게 되면 Netmon 3.1과 같은 네트워크 패킷 캡처 유틸리티를 실행할 수 있습니다. 그러면 Windbind가 정확하게 무엇을 수행하려고 하는지 분석할 수 있습니다. 또한 인증 시도를 보여 주는 DC의 Windows 보안 로그를 조사할 수도 있습니다.

 

작동될 경우 갖춰야 할 사항

모 두 제대로 작동하게 했다면 이제 Active Directory에서 관리하는 자격 증명을 사용하여 Linux 시스템에 로그인할 수 있습니다. 이는 로컬의 Linux 컴퓨터에서 ID를 관리하거나 NIS와 같이 안전하지 않은 시스템을 사용하는 것보다 크게 향상된 방식입니다. 사용자 관리를 하나의 ID 저장소, 즉 Active Directory에서 중앙 집중화할 수 있기 때문입니다.

 

그 러나 이 솔루션을 완벽하게 활용하기 위해 다소 부족한 부분이 몇 가지 있습니다. 첫 번째로 기술 지원이 다소 소홀합니다. 대부분의 Linux 조직들은 Active Directory와 관련하여 불분명한 태도를 취하고 있으며, Linux 커뮤니티에서 받을 수 있는 지원도 어쩌다가 여러분의 게시글을 읽은 사람 그리고 그 사람의 그날 컨디션에 따라 달라집니다.

 

또 한 Samba와 관련된 마이그레이션 또는 배포 도구도 없습니다. 사용자 ID와 권한이 있는 기존 Linux 계정을 갖고 있는 경우 이를 Active Directory로 마이그레이션할 때 UID가 있는지 수동으로 확인해야 합니다.

 

마 지막으로, 가장 중요한 Active Directory 응용 프로그램 중 하나인 Group Policy가 아직 Samba를 지원하지 않습니다(지원하기 위한 작업 진행 중). Samba를 사용하여 Linux 시스템을 Active Directory에 가입시키는 것은 가능하나 Group Policy를 사용하여 관리할 수는 없습니다.

출처 : http://blog.naver.com/PostView.nhn?blogId=kaoni_5700&logNo=50045921172