Associar uma instância do Linux ao AWS Managed Microsoft AD Restringir o acesso de login da conta Mapeamento de ID Conectar-se à instância do Linux

Associação manual de uma instância do Amazon EC2 para Linux ao AWS Managed Microsoft AD Active Directory

Além das instâncias do Amazon EC2 para Windows, também é possível associar determinadas instâncias do Amazon EC2 para Linux ao AWS Managed Microsoft AD Active Directory. As seguintes distribuições e versões de instância do Linux são suportadas:

Amazon Linux AMI 2018.03.0
Amazon Linux 2 (64 bits x86)
AMI do Amazon Linux 2023
Red Hat Enterprise Linux 8 (HVM) (64 bits x86)
Ubuntu Server 18.04 LTS e Ubuntu Server 16.04 LTS
CentOS 7 x86-64
SUSE Linux Enterprise Server 15 SP1

nota

Outras distribuições e versões do Linux podem funcionar, mas não foram testadas.

Associar uma instância do Linux ao AWS Managed Microsoft AD

Antes de associar uma instância do Amazon Linux, CentOS, Red Hat ou Ubuntu ao seu diretório, a instância deve primeiro ser iniciada conforme especificado em Associação direta de uma instância do Linux.

Importante

Alguns dos procedimentos a seguir, se não forem executados corretamente, podem tornar sua instância inacessível ou não utilizável. Portanto, nós sugerimos enfaticamente que você faça um backup ou tire um snapshot da sua instância antes de executar esses procedimentos.

Para associar uma instância do Linux ao seu diretório

Siga as etapas para a sua instância do Linux específica usando uma das seguintes guias:

Amazon Linux

Conecte-se à instância usando qualquer cliente SSH.
Configure a instância do Linux para usar os endereços IP dos servidores de DNS fornecidos pelo AWS Directory Service. Você pode fazer isso configurando-o nas opções de DHCP conectadas à VPC ou configurando-o manualmente na instância. Se desejar defini-lo manualmente, consulte Como faço para atribuir um servidor DNS estático a uma instância privada do Amazon EC2 no Centro de Conhecimentos da AWS para obter orientação sobre a definição do servidor de DNS persistente para sua distribuição e versão específicas do Linux.
Verifique se sua instância do Amazon Linux de 64 bits está atualizada.
```
sudo yum -y update
```
Instale os pacotes do Amazon Linux necessários em sua instância do Linux.

nota
Alguns desses pacotes já podem estar instalados.
Enquanto você instala os pacotes, você pode ver várias telas pop-up de configuração. Você geralmente pode deixar os campos nessas telas em branco.
Amazon Linux
```
sudo yum install samba-common-tools realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation
```
nota
Para obter ajuda para determinar a versão do Amazon Linux que você está usando, consulte Como identificar imagens do Amazon Linux no Guia do usuário do Amazon EC2 para instâncias do Linux.
Junte a instância ao diretório com o comando a seguir.
```
sudo realm join -U join_account@EXAMPLE.COM example.com --verbose
```
join_account@EXAMPLE.COM

Uma conta no domínio example.com com privilégios de associação a domínio. Digite a senha da conta quando solicitado. Para obter mais informações sobre como delegar esses privilégios, consulte Delegação de privilégios de associação ao diretório do AWS Managed Microsoft AD.

example.com

O nome de DNS totalmente qualificado do seu diretório.
```
...
 * Successfully enrolled machine in realm
```
Ajuste o serviço SSH para permitir autenticação de senha.
1. Abra o arquivo /etc/ssh/sshd_config em um editor de textos.
```
sudo vi /etc/ssh/sshd_config
```
2. Defina a configuração PasswordAuthentication como yes.
```
PasswordAuthentication yes
```
3. Reinicie o serviço SSH.
```
sudo systemctl restart sshd.service
```
  Alternativa:
```
sudo service sshd restart
```
Após a instância ser reiniciada, conecte-se a ela com um cliente SSH e adicione o grupo de administradores delegados da AWS à lista de sudoers executando as etapas a seguir:
1. Abra o arquivo sudoers com o seguinte comando:
```
sudo visudo
```
2. Adicione o seguinte ao final do arquivo sudoers e salve-o.
```
## Add the "AWS Delegated Administrators" group from the example.com domain.
%AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL                        
                    
```
  (O exemplo acima usa "\<space>" para criar o caractere de espaço do Linux.)

CentOS

Conecte-se à instância usando qualquer cliente SSH.
Configure a instância do Linux para usar os endereços IP dos servidores de DNS fornecidos pelo AWS Directory Service. Você pode fazer isso configurando-o nas opções de DHCP conectadas à VPC ou configurando-o manualmente na instância. Se desejar defini-lo manualmente, consulte Como faço para atribuir um servidor DNS estático a uma instância privada do Amazon EC2 no Centro de Conhecimentos da AWS para obter orientação sobre a definição do servidor de DNS persistente para sua distribuição e versão específicas do Linux.
Verifique se sua instância do CentOS 7 está atualizada.
```
sudo yum -y update
```
Instale os pacotes do CentOS 7 necessários na sua instância do Linux.

nota
Alguns desses pacotes já podem estar instalados.
Enquanto você instala os pacotes, você pode ver várias telas pop-up de configuração. Você geralmente pode deixar os campos nessas telas em branco.
```
sudo yum -y install sssd realmd krb5-workstation samba-common-tools
```
Junte a instância ao diretório com o comando a seguir.
```
sudo realm join -U join_account@example.com example.com --verbose
```
join_account@example.com

Uma conta no domínio example.com com privilégios de associação a domínio. Digite a senha da conta quando solicitado. Para obter mais informações sobre como delegar esses privilégios, consulte Delegação de privilégios de associação ao diretório do AWS Managed Microsoft AD.

example.com

O nome de DNS totalmente qualificado do seu diretório.
```
...
 * Successfully enrolled machine in realm
```
Ajuste o serviço SSH para permitir autenticação de senha.
1. Abra o arquivo /etc/ssh/sshd_config em um editor de textos.
```
sudo vi /etc/ssh/sshd_config
```
2. Defina a configuração PasswordAuthentication como yes.
```
PasswordAuthentication yes
```
3. Reinicie o serviço SSH.
```
sudo systemctl restart sshd.service
```
  Alternativa:
```
sudo service sshd restart
```
Após a instância ser reiniciada, conecte-se a ela com um cliente SSH e adicione o grupo de administradores delegados da AWS à lista de sudoers executando as etapas a seguir:
1. Abra o arquivo sudoers com o seguinte comando:
```
sudo visudo
```
2. Adicione o seguinte ao final do arquivo sudoers e salve-o.
```
## Add the "AWS Delegated Administrators" group from the example.com domain.
%AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL                        
                    
```
  (O exemplo acima usa "\<space>" para criar o caractere de espaço do Linux.)

Red Hat

Conecte-se à instância usando qualquer cliente SSH.
Configure a instância do Linux para usar os endereços IP dos servidores de DNS fornecidos pelo AWS Directory Service. Você pode fazer isso configurando-o nas opções de DHCP conectadas à VPC ou configurando-o manualmente na instância. Se desejar defini-lo manualmente, consulte Como faço para atribuir um servidor DNS estático a uma instância privada do Amazon EC2 no Centro de Conhecimentos da AWS para obter orientação sobre a definição do servidor de DNS persistente para sua distribuição e versão específicas do Linux.
Certifique-se de que a instância do Red Hat - 64 bits está atualizada.
```
sudo yum -y update
```
Instale os pacotes do Red Hat necessários na sua instância do Linux.

nota
Alguns desses pacotes já podem estar instalados.
Enquanto você instala os pacotes, você pode ver várias telas pop-up de configuração. Você geralmente pode deixar os campos nessas telas em branco.
```
sudo yum -y install sssd realmd krb5-workstation samba-common-tools
```
Junte a instância ao diretório com o comando a seguir.
```
sudo realm join -v -U join_account example.com --install=/
```
join_account

O sAMAccountName para uma conta no domínio example.com que tem privilégios de ingresso no domínio. Digite a senha da conta quando solicitado. Para obter mais informações sobre como delegar esses privilégios, consulte Delegação de privilégios de associação ao diretório do AWS Managed Microsoft AD.

example.com

O nome de DNS totalmente qualificado do seu diretório.
```
...
 * Successfully enrolled machine in realm
```
Ajuste o serviço SSH para permitir autenticação de senha.
1. Abra o arquivo /etc/ssh/sshd_config em um editor de textos.
```
sudo vi /etc/ssh/sshd_config
```
2. Defina a configuração PasswordAuthentication como yes.
```
PasswordAuthentication yes
```
3. Reinicie o serviço SSH.
```
sudo systemctl restart sshd.service
```
  Alternativa:
```
sudo service sshd restart
```
Após a instância ser reiniciada, conecte-se a ela com um cliente SSH e adicione o grupo de administradores delegados da AWS à lista de sudoers executando as etapas a seguir:
1. Abra o arquivo sudoers com o seguinte comando:
```
sudo visudo
```
2. Adicione o seguinte ao final do arquivo sudoers e salve-o.
```
## Add the "AWS Delegated Administrators" group from the example.com domain.
%AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL                        
                    
```
  (O exemplo acima usa "\<space>" para criar o caractere de espaço do Linux.)

SUSE

Conecte-se à instância usando qualquer cliente SSH.
Configure a instância do Linux para usar os endereços IP dos servidores de DNS fornecidos pelo AWS Directory Service. Você pode fazer isso configurando-o nas opções de DHCP conectadas à VPC ou configurando-o manualmente na instância. Se desejar defini-lo manualmente, consulte Como faço para atribuir um servidor DNS estático a uma instância privada do Amazon EC2 no Centro de Conhecimentos da AWS para obter orientação sobre a definição do servidor de DNS persistente para sua distribuição e versão específicas do Linux.
Verifique se sua instância do SUSE Linux 15 está atualizada.
1. Conecte o repositório de pacotes.
```
sudo SUSEConnect -p PackageHub/15.1/x86_64
```
2. Atualize o SUSE.
```
sudo zypper update -y
```
Instale os pacotes SUSE Linux 15 necessários em sua instância do Linux.

nota
Alguns desses pacotes já podem estar instalados.
Enquanto você instala os pacotes, você pode ver várias telas pop-up de configuração. Você geralmente pode deixar os campos nessas telas em branco.
```
sudo zypper -n install realmd adcli sssd sssd-tools sssd-ad samba-client krb5-client
```
Junte a instância ao diretório com o comando a seguir.
```
sudo realm join -U join_account example.com --verbose
```
join_account

O sAMAccountName no domínio example.com que tem privilégios de ingresso no domínio. Digite a senha da conta quando solicitado. Para obter mais informações sobre como delegar esses privilégios, consulte Delegação de privilégios de associação ao diretório do AWS Managed Microsoft AD.

example.com

O nome do DNS totalmente qualificado do seu diretório.
```
…
realm: Couldn't join realm: Enabling SSSD in nsswitch.conf and PAM failed.
```
Observe que espera-se ambos os retornos a seguir.
```
! Couldn't authenticate with keytab while discovering which salt to use:
! Enabling SSSD in nsswitch.conf and PAM failed.
```
Habilite manualmente o SSSD no PAM.
```
sudo pam-config --add --sss
```

Edite o nsswitch.conf para habilitar o SSSD no nsswitch.conf


sudo vi /etc/nsswitch.conf


passwd: compat sss
group:  compat sss
shadow: compat sss

Adicione a seguinte linha a /etc/pam.d/common-session para criar automaticamente um diretório inicial no login inicial
```
sudo vi /etc/pam.d/common-session
```
```
session optional        pam_mkhomedir.so skel=/etc/skel umask=077
```
Reinicialize a instância para concluir o processo de ingresso no domínio.
```
sudo reboot
```

Reconecte-se à instância usando qualquer cliente SSH para verificar se o acesso ao domínio foi concluído com êxito e finalizar etapas adicionais

Como verificar se a instância foi inscrita no domínio


sudo realm list


example.com
  type: kerberos
  realm-name: EXAMPLE.COM
  domain-name: example.com
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: adcli
  required-package: samba-client
  login-formats: %U@example.com
  login-policy: allow-realm-logins

Como verificar o status do daemon SSSD


systemctl status sssd


sssd.service - System Security Services Daemon
   Loaded: loaded (/usr/lib/systemd/system/sssd.service; enabled; vendor preset: disabled)
   Active: active (running) since Wed 2020-04-15 16:22:32 UTC; 3min 49s ago
 Main PID: 479 (sssd)
    Tasks: 4
   CGroup: /system.slice/sssd.service
           ├─479 /usr/sbin/sssd -i --logger=files
           ├─505 /usr/lib/sssd/sssd_be --domain example.com --uid 0 --gid 0 --logger=files
           ├─548 /usr/lib/sssd/sssd_nss --uid 0 --gid 0 --logger=files
           └─549 /usr/lib/sssd/sssd_pam --uid 0 --gid 0 --logger=files

Como permitir o acesso de um usuário via SSH e console
```
sudo realm permit join_account@example.com
```
Como permitir acesso a um grupo de domínios via SSH e console
```
sudo realm permit -g 'AWS Delegated Administrators'
```
Ou como permitir que todos os usuários acessem
```
sudo realm permit --all
```
Ajuste o serviço SSH para permitir autenticação de senha.
1. Abra o arquivo /etc/ssh/sshd_config em um editor de textos.
```
sudo vi /etc/ssh/sshd_config
```
2. Defina a configuração PasswordAuthentication como yes.
```
PasswordAuthentication yes
```
3. Reinicie o serviço SSH.
```
sudo systemctl restart sshd.service
```
  Alternativa:
```
sudo service sshd restart
```
13. Após a instância ser reiniciada, conecte-se a ela com um cliente SSH e adicione o grupo de administradores delegados da AWS à lista de sudoers executando as etapas a seguir:
1. Abra o arquivo sudoers com o seguinte comando:
```
sudo visudo
```
2. Adicione o seguinte ao final do arquivo sudoers e salve-o.
```
## Add the "Domain Admins" group from the awsad.com domain.
%AWS\ Delegated\ Administrators@example.com ALL=(ALL) NOPASSWD: ALL
```

Ubuntu

Conecte-se à instância usando qualquer cliente SSH.
Configure a instância do Linux para usar os endereços IP dos servidores de DNS fornecidos pelo AWS Directory Service. Você pode fazer isso configurando-o nas opções de DHCP conectadas à VPC ou configurando-o manualmente na instância. Se desejar defini-lo manualmente, consulte Como faço para atribuir um servidor DNS estático a uma instância privada do Amazon EC2 no Centro de Conhecimentos da AWS para obter orientação sobre a definição do servidor de DNS persistente para sua distribuição e versão específicas do Linux.
Certifique-se de que a instância do Ubuntu - 64 bits está atualizada.
```
sudo apt-get update
sudo apt-get -y upgrade
```
Instale os pacotes do Ubuntu necessários na sua instância do Linux.

nota
Alguns desses pacotes já podem estar instalados.
Enquanto você instala os pacotes, você pode ver várias telas pop-up de configuração. Você geralmente pode deixar os campos nessas telas em branco.
```
sudo apt-get -y install sssd realmd krb5-user samba-common packagekit adcli
```
Desabilite a resolução de DNS reverso e defina o realm padrão para o FQDN do domínio. Instâncias do Ubuntu devem ser capazes de fazer a resolução inversa no DNS para que um realm possa funcionar. Caso contrário, você precisa desabilitar DNS reverso no /etc/krb5.conf, como a seguir:
```
sudo vi /etc/krb5.conf
```
```
[libdefaults] 
default_realm = EXAMPLE.COM 
rdns = false
```
Junte a instância ao diretório com o comando a seguir.
```
sudo realm join -U join_account example.com --verbose
```
join_account@example.com

O sAMAccountName para uma conta no domínio example.com que tem privilégios de ingresso no domínio. Digite a senha da conta quando solicitado. Para obter mais informações sobre como delegar esses privilégios, consulte Delegação de privilégios de associação ao diretório do AWS Managed Microsoft AD.

example.com

O nome de DNS totalmente qualificado do seu diretório.
```
...
 * Successfully enrolled machine in realm
```
Ajuste o serviço SSH para permitir autenticação de senha.
1. Abra o arquivo /etc/ssh/sshd_config em um editor de textos.
```
sudo vi /etc/ssh/sshd_config
```
2. Defina a configuração PasswordAuthentication como yes.
```
PasswordAuthentication yes
```
3. Reinicie o serviço SSH.
```
sudo systemctl restart sshd.service
```
  Alternativa:
```
sudo service sshd restart
```
Após a instância ser reiniciada, conecte-se a ela com um cliente SSH e adicione o grupo de administradores delegados da AWS à lista de sudoers executando as etapas a seguir:
1. Abra o arquivo sudoers com o seguinte comando:
```
sudo visudo
```
2. Adicione o seguinte ao final do arquivo sudoers e salve-o.
```
## Add the "AWS Delegated Administrators" group from the example.com domain.
%AWS\ Delegated\ Administrators@example.com ALL=(ALL:ALL) ALL                        
                    
```
  (O exemplo acima usa "\<space>" para criar o caractere de espaço do Linux.)

Restringir o acesso de login da conta

Como todas as contas estão definidas no Active Directory, por padrão, todos os usuários no diretório podem fazer login na instância. Você pode permitir que somente usuários específicos façam login na instância com ad_access_filter em sssd.conf. Por exemplo:


ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com)

memberOf: Indica que os usuários só podem ter acesso à instância se participarem de um grupo específico.
cn: O nome comum do grupo que deve ter acesso. Neste exemplo, o nome do grupo é admins.
ou: Essa é a unidade organizacional na qual o grupo acima está localizado. Neste exemplo, a UO é Testou.
dc: Este é o componente de domínio do seu domínio. Neste exemplo, example.
dc: Este é um componente adicional de domínio. Neste exemplo, com.

Você deve adicionar manualmente ad_access_filter ao /etc/sssd/sssd.conf.

Abra o arquivo /etc/sssd/sssd.conf em um editor de textos.


sudo vi /etc/sssd/sssd.conf

Depois disso, seu sssd.conf pode ficar da seguinte forma:


[sssd]
domains = example.com
config_file_version = 2 
services = nss, pam 

[domain/example.com] 
ad_domain = example.com 
krb5_realm = EXAMPLE.COM 
realmd_tags = manages-system joined-with-samba 
cache_credentials = True 
id_provider = ad 
krb5_store_password_if_offline = True 
default_shell = /bin/bash 
ldap_id_mapping = True 
use_fully_qualified_names = True 
fallback_homedir = /home/%u@%d 
access_provider = ad 
ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com)

Para que a configuração entre em vigor, é necessário reiniciar o serviço sssd:


sudo systemctl restart sssd.service

Você também poderia usar o:


sudo service sssd restart

Por exemplo:


ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com)

memberOf: Indica que os usuários só podem ter acesso à instância se participarem de um grupo específico.
cn: O nome comum do grupo que deve ter acesso. Neste exemplo, o nome do grupo é admins.
ou: Essa é a unidade organizacional na qual o grupo acima está localizado. Neste exemplo, a UO é Testou.
dc: Este é o componente de domínio do seu domínio. Neste exemplo, example.
dc: Este é um componente adicional de domínio. Neste exemplo, com.

Você deve adicionar manualmente ad_access_filter ao /etc/sssd/sssd.conf.

Abra o arquivo /etc/sssd/sssd.conf em um editor de textos.
```
sudo vi /etc/sssd/sssd.conf
```

Depois disso, seu sssd.conf pode ficar da seguinte forma:


[sssd]
domains = example.com
config_file_version = 2 
services = nss, pam 

[domain/example.com] 
ad_domain = example.com 
krb5_realm = EXAMPLE.COM 
realmd_tags = manages-system joined-with-samba 
cache_credentials = True 
id_provider = ad 
krb5_store_password_if_offline = True 
default_shell = /bin/bash 
ldap_id_mapping = True 
use_fully_qualified_names = True 
fallback_homedir = /home/%u@%d 
access_provider = ad 
ad_access_filter = (memberOf=cn=admins,ou=Testou,dc=example,dc=com)

Para que a configuração entre em vigor, é necessário reiniciar o serviço sssd:
```
sudo systemctl restart sssd.service
```
Você também poderia usar o:
```
sudo service sssd restart
```

Mapeamento de ID

O mapeamento de ID pode ser realizado por dois métodos para manter uma experiência unificada entre as identidades UNIX/Linux User Identifier (UID) e Group Identifier (GID) e entre Windows e Active Directory Security Identifier (SID).

Centralizado
Distribuído

nota

O mapeamento centralizado da identidade do usuário no Active Directory requer uma interface de sistema operacional portátil ou POSIX.

Mapeamento centralizado da identidade do usuário

O Active Directory ou outro serviço do Lightweight Directory Access Protocol (LDAP) fornece UID e GID aos usuários do Linux. No Active Directory, esses identificadores são armazenados nos atributos dos usuários:

UID: o nome de usuário do Linux (string)
Número UID: o número de ID do usuário Linux (inteiro)
Número GID: o número de ID do grupo Linux (inteiro)

Para configurar uma instância do Linux para usar o UID e o GID no Active Directory, defina ldap_id_mapping = False no arquivo sssd.conf. Antes de definir esse valor, verifique se você adicionou um UID, um número UID e um número GID aos usuários e grupos no Active Directory.

Mapeamento distribuído de identidade de usuário

Se o Active Directory não tiver a extensão POSIX ou se você optar por não gerenciar centralmente o mapeamento de identidade, o Linux poderá calcular os valores de UID e GID. O Linux usa o identificador de segurança (SID) exclusivo do usuário para manter a consistência.

Para configurar o mapeamento distribuído de ID do usuário, defina ldap_id_mapping = True no arquivo sssd.conf.

Conectar-se à instância do Linux

Quando um usuário se conectar à instância usando um cliente SSH, será solicitado seu nome de usuário. O usuário pode informar o nome de usuário no formato username@example.com ou EXAMPLE\username. A resposta será semelhante à seguinte, dependendo da distribuição do Linux que você estiver usando:

Amazon Linux, Red Hat Enterprise Linux e CentOS Linux


login as: johndoe@example.com
johndoe@example.com's password:
Last login: Thu Jun 25 16:26:28 2015 from XX.XX.XX.XX

SUSE Linux


SUSE Linux Enterprise Server 15 SP1 x86_64 (64-bit)
 
As "root" (sudo or sudo -i) use the:
  - zypper command for package management
  - yast command for configuration management
 
Management and Config: https://www.suse.com/suse-in-the-cloud-basics
Documentation: https://www.suse.com/documentation/sles-15/
Forum: https://forums.suse.com/forumdisplay.php?93-SUSE-Public-Cloud
 
Have a lot of fun...

Ubuntu Linux


login as: admin@example.com
admin@example.com@10.24.34.0's password:
Welcome to Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-1057-aws x86_64)
 
* Documentation:  https://help.ubuntu.com
* Management:     https://landscape.canonical.com
* Support:        https://ubuntu.com/advantage
 
  System information as of Sat Apr 18 22:03:35 UTC 2020
 
  System load:  0.01              Processes:           102
  Usage of /:   18.6% of 7.69GB   Users logged in:     2
  Memory usage: 16%               IP address for eth0: 10.24.34.1
  Swap usage:   0%

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Associação direta de uma instância do Linux a um Active Directory compartilhado

Associação manual de uma instância do Linux usando o Winbind