Справочный центр

Дерево страниц

Данная статья применима к:

  • Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)
  • Astra Linux Special Edition РУСБ.10015-16 исп. 1 и исп. 2
  • Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.5)
  • Astra Linux Special Edition РУСБ.10265-01 (очередное обновление 8.1)
  • Astra Linux Common Edition 2.12

Основные способы ввода ПК в домен Windows AD

Основные ошибки при вводе клиента в домен Windows AD

Ошибка «Failed to join domain: failed to lookup DC info for domain 'win.ad' over rpc: The attempted logon is invalid. This is either due to a bad username or authentication information.»

Причина: в команде ввода в домен неправильно указано имя администратора домена или пароль:

  • Указанный пользователь не имеет необходимых прав;
  • В файле /etc/resolv.conf указаны неверные данные, либо данные отсутствуют;
  • В файле /etc/nsswitch.conf указаны неверные данные (например, после самостоятельного внесения изменений).

Решение:

  • Использовать правильный логин или пароль, а также проверить вход от имени администратора домена;
  • При настройке сети указать правильные данные сервера (серверов) DNS и правильный поисковый домен;
  • Вернуть файл /etc/nsswitch.conf к исходному состоянию.

Ошибка: «Failed to join domain: Invalid configuration ("workgroup" set to 'ASTRA', should be 'WIN') and configuration modification was not requested»

Причина: неправильно указано имя рабочей группы (NetBIOS).

Решение: указать правильное имя рабочей группы (NetBIOS).

Ошибка: «Failed to join domain: Failed to set account flags for machine account (NT_STATUS_ACCESS_DENIED)»

Причина: в команде ввода в домен указано имя компьютера уже использованное в домене AD (например, имя другого компьютера).

Решение:

  1. Изменить имя компьютера, вводимого в домен:
    1. Изменить имя компьютера в файле /etc/hosts и в файле /etc/hostname;
    2. Перезагрузить компьютер;
    3. Повторить ввод в домен AD;
  2. Удалить ненужные записи в контроллере домена.

Проблема с авторизацией после ввода в домен

Вход в домен не выполняется, записи об ошибках входа в журналах отсутствуют, возможно появление на экране входа сообщения "Ошибка входа".

Причина: не синхронизировано время контроллера домена и клиента.

Решение: проверить синхронизацию времени с контроллером домена AD, для чего выполнить команду:

net time set -S winserv.win.ad <имя_домена>
Дополнительно проверить синхронизацию времени с контроллером домена AD, если нет информации об ошибке. В /var/log/auth.log отображается следующее:


Конфликтующие модули в pam-стеке (winbind и sssd)

На экране авторизации отображается ошибка "Вход неудачен". В файлах журналов отсутствует информация о попытке входа доменным пользователем, однако в /var/log/auth.log содержатся сообщения вида:

Jul 13 15:52:35 astra polkitd(authority=local): Unregistered Authentication Agent for unix-session:3 (system bus name :1.32, object path /org/kde/PolicyKit1/AuthenticationAgent, locale ru_RU.UTF-8) (disconnected from bus)

Причина: одновременное использование пакетов winbind и sssd.

Решение: использовать только пакеты winbind или только sssd. Для удаления ненужного пакета выполнить команду:

Для удаления пакета sssd:

sudo apt purge *sss*
или для удаления пакета winbind:
sudo apt purge *winbind*
Если в дальнейшем будет использоваться пакет winbind, то выполнить команду:
sudo pam-auth-update
где в появившемся окне снять чек-бокс с модуля sss authentication:

См. также следующий раздел "Исправление параметров в файле /etc/krb5.conf при использовании winbind"

Исправление параметров в файле /etc/krb5.conf при использовании winbind

Если иные способы не помогают, то при проблемах с входом пользователя можно попробовать добавить в файл /etc/krb5.conf в секцию [realms] следующие параметры:

auth_to_local = RULE:[1:$1@$0](^.*@WINDOMAIN.AD$)s/@WINDOMAIN.AD/@windomain.ad/
auth_to_local = DEFAULT

Вместо "@WINDOMAIN.AD" и "@windomain.ad" указать свой домен:

Если после изменения файла /etc/krb5.conf возникает ошибка входа, необходимо проверить правильность написания параметров.

Ошибка "Проблема установки" при использовании sssd

Причина: ошибка "проблема установки" может возникать, если раннее ПК был введен в домен AD с использованием winbind.

Решение: выполнить следующие команды:

sudo apt purge *winbind*
sudo astra-ad-sssd-client -U -y
После чего перезагрузить ПК и повторить ввод в домен AD.

Ошибка: «Your account has been locked. Please contact your System administrator»

Причина: пользователь заблокирован на контроллере домена AD.

Решение: разблокировать доменного пользователя на контроллере домена AD.

Ошибка «Не могу войти в домашний каталог. Временный каталог будет использован»

Причина: компьютер ранее вводился в домен разными способами (winbind или sssd).

Решение:

  • Проверить настройку PAM-стека;

  • Временно перенести папку .fly из домашнего каталога проблемного пользователя в любое удобное место;

  • При использовании Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) установить обновление БЮЛЛЕТЕНЬ № 20210611SE16 (оперативное обновление 7), где исправлена данная ошибка.

ПК вводится в домен, но не создаются и не обновляются DNS записи при использовании sssd

Причина: для динамического обновления записей DNS необходима утилита nsupdate (содержится в пакете dnsutils), не устанавливаемом по умолчанию.

Решение: установить пакет dnsutils:

sudo apt install dnsutils
Очистить кэш sssd:
sudo sss_cache -E 
Перезапустить sssd:
sudo systemctl restart sssd