LinuxクライアントのAD参加

質問

LinuxクライアントをAD参加させるには、クライアント内にもユーザーを作成しないとダメですか？

ＡＤサーバーはWindows server 2008です。

Windows8などのWindows端末からは、ＰＣにユーザーを設定しなくても、ＡＤへの設定さえあればログインきます。

CentOS7の端末をドメインに参加させようとしました。
CentOS7のユーザー設定で何も設定せず、ＡＤ上のユーザーＩＤのみでログインしようと試みてもログインできません。
CentOS7のユーザー設定で、ＡＤ上のユーザーと同じユーザーを作成したらログインできました。
そして、ＡＤ上のアクセス権限は有効に働いていました。

ＡＤ上のユーザーのパスワードを変更しました。
Windows8などのWindows端末からログインすると、変更後のパスワードでログインできました。
CentOS7の端末からログインするには旧のパスワードでログインしないと入れませんでした。
旧のパスワードでログインしても、ＡＤ上のアクセス権限は無効で、見たいファイルが見れませんでした。
CentOS7のユーザー設定で新パスワードに変更し、ＡＤ上のパスワードと同じにしたら、また使えるようになりました。

何か悪いのでしょうか？
それとも、そんなものなのでしょうか？

回答No.1

anmochi

一般的なLinux ディストリビューションでAD配下に置く、というのはいくつかやり方があるのでまず何をどうやってAD配下に置いた、あるいは置いたとあなたが思っているのかを説明すべきだろう。
winbindの設定をしたよ、とか。認証設定でLDAPを追加したよ、とかKerberos云々とか言われたぜ、とか。

現時点で質問文だけを読むとあなたはLinuxOSをAD配下に置く、という事に関して何か大きな誤解をしている（何を以って「AD配下にコンピュータを置く」とするかにもよるけれど）ように見える。

お礼

なるほど、Windows端末の様には行かないようですね。
Windows端末の場合は、所属するグループをワークグループからドメインに変更し、そこにドメイン名を書けば設定完了ですが。。

少し調べてみました。

Win端末と同じように
ネットワーク情報に
自身のIPアドレス
マスク
ADDC（NAME）サーバーのIPアドレス
ゲートウェイ
などを設定するだけではダメなようですので、
winbindをインストールし、
「Winbindを使用」を選択
「シャドウパスワードを使用」を選択
「Winbind認証を使用」を選択
「ローカル認証は十分です」を選択
セキュリティモデル
「abs」を選択
ドメイン情報をセットし
テンプレートシェル
「/bin/bash」を選択

net ads infoを叩いてみると、、、

[root@cmp1 ~]# net ads info
LDAP server: 192.168.10.6
LDAP server name: SV001.DM1.local
Realm: DM1.LOCAL
Bind Path: dc=DM1,dc=LOCAL
LDAP port: 389
Server time: 水, 29 4月 2015 11:58:20 JST
KDC server: 192.168.10.6
Server time offset: 0

多分イケてそう

ユーザー一覧表示では

[root@cmp1 ~]# wbinfo -u
administrator
guest
user001
user003
user060
user061

ADサーバーに登録されたユーザーが全部出てきた。

ユーザー変更してみた
[root@cmp1 ~]# su user060
[user060@cmp1 root]$

OK
ん？
スーパーユーザーからは、AD認証関係無しにスイッチできるんだ！
別のユーザーに再スイッチ

[user060@cmp1 /]$ su user061
パスワード:

一般ユーザからのスイッチの場合、AD上のパスワードでログインできた。

GUIの画面でも同じようにイケた。

一つ引っかかったのは、linux端末のスーパーユーザーから、AD上のどのユーザーにでもパスワードなしでスイッチ出来た事。
大丈夫なんでしょうか？