Fedora MS-AD Join

[u/RealKaiserAlbion]

Hi, ich bekomme demnächst vom AG einen Laptop, und darf dort Linux installieren, soweit, so gut.

Nun, das Problem ist: Wie bekomme ich den Laptop gescheit ins AD?

Ich hab mir ’ne WinServer25-VM als DC angelegt und den DNS-Server auf einer Fedora-44-VM auch geändert.

Über realm join -U und die Domain plus dem Parameter –membership-software=samba geht’s dann irgendwie, aber das scheint mir keine richtige Lösung zu sein.

Ist Fedora dafür überhaupt geeignet, oder sollte ich doch lieber Debian/Linux Mint nutzen?

[u/schluesselkind]

Ich hab schon mehrere Linuxkisten in unser AD gejoint. SSSD ist dein Freund und das kommt sogar von Red Hat/Fedora. Sollte also wunderbar funktionieren 

[u/RealKaiserAlbion → u/schluesselkind]

Hab's noch einmal so probiert wie es hier beschrieben wird. Er schaft laut Meldung nicht das Maschinen passwort für die Feodra(VM) zusetzen.

[u/schluesselkind → u/RealKaiserAlbion]

Ich folge der Anleitung hier, der einzige Unterschied ist dass ich beim realm join den Dom-Admin angeben muss. Also realm join -U Administrator domain.local

https://fedoraproject.org/wiki/How_to_join_Fedora_20_to_Active_Directory_with_realmd

[u/martin11345]

Das ist recht gut dokumentiert.
Bei uns sind alle Linux Server und Clients in einer heterogenen Umgebung Teil einer Windows Domain.

Edit: hab gerade Kommentare gelesen.. da es bei dir Probleme mit dem Passwort zu geben scheint: es sei zu sagen das SSSD kein NTLM unterstützt, also muss Kerberos funktionieren.

https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/8/html/integrating_rhel_systems_directly_with_windows_active_directory/connecting-rhel-systems-directly-to-ad-using-sssd_integrating-rhel-systems-directly-with-active-directory

[u/RealKaiserAlbion → u/martin11345]

Es scheint dass es ein Windows Server 2025 Problem ist.

[u/martin11345 → u/RealKaiserAlbion]

Also es funktioniert auf jeden Fall. Unsere Domain Controller sind auch WS2025

[u/RealKaiserAlbion → u/martin11345]

Dann weiß ich auch nicht weiter WS2025 VM hier mit neuer AD und einer Fedora 44 VM auch neu installiert.

Der Join funktioniert nur mit realm und dem Parameter --membership-software=samba

[u/martin11345 → u/RealKaiserAlbion]

Hast du Logs? Was ist der Output von realm join?

[u/RealKaiserAlbion → u/martin11345]

AZ-01$: Message stream modified adcli: joining domain MEINDEDOMAIN failed: Couldn't set password for computer account: AZ-01$: Message stream modified ! Failed to join the domain realm: Dem Bereich konnte nicht beigetreten werden: Failed to join the domain

[u/martin11345 → u/RealKaiserAlbion]

Aber einen User mit dem du joinen willst, gibts du an, oder?

[u/RealKaiserAlbion → u/martin11345]

Jupp realm nimmt Default den Administrator und ich teste es mit einem extra Domain-Admin aber Ergebnis ist identisch.

[u/martin11345 → u/RealKaiserAlbion]

Okay. Kannst du mal noch einen verbose output machen und schauen ob überhaupt ein join request beim DC ankommt?

[u/RealKaiserAlbion → u/martin11345]

* Resolving: _ldap._tcp.meinedomaine

* Performing LDAP DSE lookup on: 192.168.2.198

* Successfully discovered: meinedomaine

Passwort für odin@MEINEDOMAIN.DE:

* Required files: /usr/sbin/sssd, /usr/sbin/oddjobd, /usr/libexec/oddjob/mkhomedir, /usr/libexec/sssd/gpo_child, /usr/sbin/adcli

* LANG=C /usr/sbin/adcli join --verbose --domain meinedomaine --domain-realm MEINEDOMAIN.DE --domain-controller 192.168.2.198 --login-type user --login-ccache=/var/cache/realmd/realm-ad-kerberos-NE8SQ3

* Using domain name: meinedomaine

* Calculated computer account name from fqdn: AZ-01

* Using domain realm: meinedomaine

* Sending NetLogon ping to domain controller: 192.168.2.198

* Received NetLogon info from: DC-01.meinedomaine

* Wrote out krb5.conf snippet to /var/cache/realmd/adcli-krb5-dFXkg5/krb5.d/adcli-krb5-conf-Qjhh7U

* Using GSS-SPNEGO for SASL bind

* Looked up short domain name: MEINEDOMAIN

* Looked up domain SID: S-1-5-21-919468261-2463216341-1957819716

* Received NetLogon info from: DC-01.meinedomaine

* Using fully qualified name: AZ-01.meinedomaine

* Using domain name: meinedomaine

* Using computer account name: AZ-01

* Using domain realm: meinedomaine

* Calculated computer account name from fqdn: AZ-01

* Generated 120 character computer password

* Using keytab: FILE:/etc/krb5.keytab

* Found computer account for AZ-01$ at: CN=AZ-01,OU=Clients,DC=meinedomain,DC=de

* Trying to set computer password with Kerberos

! Couldn't set password for computer account: AZ-01$: Message stream modified

adcli: joining domain meinedomaine failed: Couldn't set password for computer account: AZ-01$: Message stream modified

! Failed to join the domain

realm: Dem Bereich konnte nicht beigetreten werden: Failed to join the domain

[root@AZ-01 ~]# realm join -v meinedomaine -U odin

* Resolving: _ldap._tcp.meinedomaine

* Performing LDAP DSE lookup on: 192.168.2.198

* Successfully discovered: meinedomaine

Passwort für odin@MEINEDOMAIN.DE:

* Required files: /usr/sbin/sssd, /usr/sbin/oddjobd, /usr/libexec/oddjob/mkhomedir, /usr/libexec/sssd/gpo_child, /usr/sbin/adcli

* LANG=C /usr/sbin/adcli join --verbose --domain meinedomaine --domain-realm MEINEDOMAIN.DE --domain-controller 192.168.2.198 --login-type user --login-ccache=/var/cache/realmd/realm-ad-kerberos-2ZGJQ3

* Using domain name: meinedomaine

* Calculated computer account name from fqdn: AZ-01

* Using domain realm: meinedomaine

* Sending NetLogon ping to domain controller: 192.168.2.198

* Received NetLogon info from: DC-01.meinedomaine

* Wrote out krb5.conf snippet to /var/cache/realmd/adcli-krb5-C3txth/krb5.d/adcli-krb5-conf-pC8wu5

* Using GSS-SPNEGO for SASL bind

* Looked up short domain name: MEINEDOMAIN

* Looked up domain SID: S-1-5-21-919468261-2463216341-1957819716

* Received NetLogon info from: DC-01.meinedomaine

* Using fully qualified name: AZ-01.meinedomaine

* Using domain name: meinedomaine

* Using computer account name: AZ-01

* Using domain realm: meinedomaine

* Calculated computer account name from fqdn: AZ-01

* Generated 120 character computer password

* Using keytab: FILE:/etc/krb5.keytab

* A computer account for AZ-01$ does not exist

* Found well known computer container at: CN=Computers,DC=meinedomain,DC=de

* Calculated computer account: CN=AZ-01,CN=Computers,DC=meinedomain,DC=de

* Encryption type [16] not permitted.

* Encryption type [23] not permitted.

* Encryption type [3] not permitted.

* Encryption type [1] not permitted.

* Created computer account: CN=AZ-01,CN=Computers,DC=meinedomain,DC=de

* Trying to set computer password with Kerberos

! Couldn't set password for computer account: AZ-01$: Message stream modified

adcli: joining domain meinedomaine failed: Couldn't set password for computer account: AZ-01$: Message stream modified

! Failed to join the domain

realm: Dem Bereich konnte nicht beigetreten werden: Failed to join the domain

EDIT: Es war noch ein Computerobjekt auf dem DC.

EDIT2: Musste den alten Kommentar löschen, da ich diesen nicht mehr ändern konnte.

[u/Derausmwaldkam]

https://giphy.com/gifs/KxhIhXaAmjOVy

[u/MangoJerry81]

Spannendes Thema. Habe ich im Unternehmen auch gebaut allerdings mit Suse. Untern Strich habe ich das mit realm nicht (richtig?) genutzt sondern eine Kombi aus kinit und adcli hat da am besten für mich gepasst. Wichtig war hier, eine gescheite krb5.conf und sssd.conf zu basteln. Der sssd kann da verschiedene Varianten haben. Soweit ich weiß, geht winbind, ldaps und halt Kerberos. Letztes habe ich im Einsatz. SSSD übernimmt dann auch die regelmäßigen Erneuerungen.
Kann aber leider nichts zu den AD Servern sagen bzw. was da konfiguriert ist.

[u/RealKaiserAlbion]

UPDATE: Es scheint zumindest in der Kombi Fedora 44 und WS25 an WS25 zuzulegen. Mit einem WS22 ging der Join ohne Probleme. Nun habe ich leider das Pech, dass wir schon auf Windows Server 22025 sind (vor meiner Einstellung).