Исходные данные

Предполагается, что у нас уже есть установленный сервер FreeIPA.

Донастройка сервера FreeIPA

Если при установке сервера не была применена опция --setup-adtrust (установка компонент для работы с samba и Windows AD), то доустановить необходимые компонетнты:

ipa service-add cifs/cifs.ipadomain.le

ipa permission-add "CIFS server can read user passwords" --attrs={ipaNTHash,ipaNTSecurityIdentifier} --type=user --right={read,search,compare} --bindtype=permission
ipa privilege-add "CIFS server privilege"
ipa privilege-add-permission "CIFS server privilege" --permission="CIFS server can read user passwords"
ipa role-add "CIFS server"
ipa role-add-privilege "CIFS server" --privilege="CIFS server privilege"
ipa role-add-member "CIFS server" --services=cifs/cifs.ipadomain.le

sudo kinit -kt /etc/krb5.keytab
sudo ipa-getkeytab -s ipa.ipadomain.le -p cifs/cifs.ipadomain.le -k /etc/samba/samba.keytab

kinit admin
ldapsearch -Y gssapi "(uid=admin)"
ldapsearch -Y gssapi "(uid=ipauser)"

kdestroy -A
kinit -kt /etc/samba/samba.keytab cifs/ipa.ipadomain.le
ldapsearch -Y gssapi "(ipaNTHash=*)" ipaNTHash