# Ajouter Debian 9 dans un domaine **URL:** \ **Category:** Support Debian\ **Created:** [Juillet 16, 2018, 9:40 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216 "2018-07-16T09:40:06Z")\ **Posts on this page:** 9\ **Page:** 1
**Author:** ![azrt](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/41988e/32.png) [@azrt](https://www.debian-fr.org/u/azrt)\ **Post date:** [Juillet 16, 2018, 9:40 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/1 "2018-07-16T09:40:06Z")
Bonjour, Je souhaite ajouter un debian 9 dans un contrôleur de domaine Windows2016. Configuration du smb.conf server string = NomDuServeurDebian netbios name = NomDuServeurDebian security = ads realm = MONDOMAINE.LOCAL password server = AdresseIPDuDC workgroup = mondomaine idmap uid = 10000-20000 idmap gid = 10000-20000 winbind enum users = yes winbind enum groups = yes winbind refresh tickets = yes template homedir = /data/commun template shell = /bin/bash client use spnego = yes client ntlmv2 auth = yes winbind use default domain = yes restrict anonymous = 2 L’intégration de la machine dans le DC se déroule bien, je vois mes groupes et utilisateur avec la commande wbinfo mais je n’arrive pas à me connecter avec les utilisateurs sur Debian. Je modifie les fichiers common-account account sufficient pam\_winbind.so account required pam\_unix.so common-session session required pam\_unix.so session required pam\_mkhomedir.so umask=0022 skel=/etc/skel common-auth auth sufficient pam\_winbind.so krb5\_auth krb5\_ccache\_type=FILE auth sufficient pam\_unix.so nullok\_secure use\_first\_pass auth required pam\_deny.so Après modification, aucune authentification ne fonctionne ni même le root. Avez-vous une idée du problème ? Cela fonctionne sur une debian 7. Merci d’avance ---
**Author:** ![littlejohn75](https://www.debian-fr.org/user_avatar/www.debian-fr.org/littlejohn75/32/3840_2.png) [@littlejohn75](https://www.debian-fr.org/u/littlejohn75)\ **Post date:** [Juillet 16, 2018, 12:15 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/2 "2018-07-16T12:15:05Z")
> [@azrt](#): > > security = ads > > realm = `MONDOMAINE.LOCAL` Pourrait-on voir le contenu du fichier `/etc/krb5.conf` ? En particulier les entrées relatives à `MONDOMAINE.LOCAL` et la sortie des commandes suivantes ```auto getent hosts AdresseIPDuDC getent hosts nomDuPDC.mondomaine.local ``` Notez aussi qu’il est particulièrement difficile de répondre à votre question lorsque les noms réels des systèmes ne sont pas dévoilés. Je vous conseille de vérifier que vous avez des entrées dans le fichier `/etc/hosts` concernant les contrôleurs de domaine AD, que le nom de domaine (DNS) par défaut est bien celui défini dans AD, que vous avez installé `ntp` et que le les contrôleurs de domaine sont bien utilisés comme serveurs de temps dans `/etc/ntp.conf`, que vous pouvez obtenir des jetons kerberos :s ```auto kinit votreIdentifiantAD@NOMDOMAINE.LOCAL klist ``` Pour le fichier `/etc/samba/smb.conf` voici des extraits d’une configuration opérationnelle ```auto [global] ## Browsing/Identification ### # Change this to the workgroup/NT-domain name your Samba server will part of workgroup = EUA realm = EUA.BVCORP.CORP kerberos method = secrets and keytab # server string is the equivalent of the NT Description field server string = %h server # ... # This will prevent nmbd to search for NetBIOS names through DNS. dns proxy = no # ... security = ADS allow trusted domains = no password server = vd08frho0100001.eua.bvcorp.corp encrypt passwords = true # ... passdb backend = tdbsam obey pam restrictions = yes # ... map to guest = bad user # ... # Some defaults for winbind (make sure you're not using the ranges # for something else.) ; idmap uid = 10000-20000 ; idmap gid = 10000-20000 idmap config * : backend = tdb idmap config * : range = 1000000-1999999 idmap config EUA : backend = rid idmap config EUA : range = 2000000-3999999 idmap config DRHPCMSS : backend = rid idmap config DRHPCMSS : range = 40000-49999 idmap config DRHPCMSS : base_rid = 0 template homedir = /homew/%U ``` Cordialement, Regards, Mit freundlichen Grüßen, مع تحياتي الخالصة * * * F. Petitjean Ingénieur civil du Génie Maritime. « Un ordinateur c’est comme un frigo : on le branche et ça marche. » Laurent Serano Directeur informatique, réunion Délégués du Personnel 2010 ---
**Author:** ![azrt](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/41988e/32.png) [@azrt](https://www.debian-fr.org/u/azrt)\ **Post date:** [Juillet 16, 2018, 12:51 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/3 "2018-07-16T12:51:32Z")
Bonjour, merci pour votre aide, ci-joint les informations root@samba:~# getent hosts @IPduDC @IPDuDC nomserveur.mondomaine.local root@samba:~# getent hosts nomserveur.mondomaine.local @IPDuDC nomserveur.mondomaine.local root@samba:~# kinit [administrateur@MONDOMAINE.LOCAL](mailto:administrateur@MONDOMAINE.LOCAL) Password for [administrateur@MONDOMAINE.LOCAL](mailto:administrateur@MONDOMAINE.LOCAL): root@samba:~# klist Ticket cache: FILE:/tmp/krb5cc\_0 Default principal: [administrateur@MONDOMAINE.LOCAL](mailto:administrateur@MONDOMAINE.LOCAL) Valid starting Expires Service principal 16/07/2018 14:48:30 17/07/2018 00:48:30 [krbtgt/MONDOMAINE.LOCAL@MONDOMAINE.LOCAL](mailto:krbtgt/MONDOMAINE.LOCAL@MONDOMAINE.LOCAL) renew until 17/07/2018 14:48:27 ![krb5](https://www.debian-fr.org/uploads/default/original/2X/e/e1f55f0182ff00da533590c716fc5c7d5ffe096c.PNG) ---
**Author:** ![littlejohn75](https://www.debian-fr.org/user_avatar/www.debian-fr.org/littlejohn75/32/3840_2.png) [@littlejohn75](https://www.debian-fr.org/u/littlejohn75)\ **Post date:** [Juillet 16, 2018, 3:27 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/4 "2018-07-16T15:27:49Z")
> [@littlejohn75](#): > > Pourrait-on voir le contenu du fichier /etc/krb5.conf ? Donner le contenu d’un fichier texte de configuration en collant une image dans le forum, cela ne peut que ralentir les choses. D’autant plus que de toute évidence vous n’avez pas saisi les subtilités syntaxiques et sémantiques liées à cette notion de `realm` (domaine) kerberos. Par convention, un domaine kerberos s’écrit tout EN MAJUSCULES, alors que pour un domaine DNS on préfère les minuscules. Au début du fichier `krb5.conf` vous devriez avoir ```auto [libdefaults] default_realm = MONDOMAINE.LOCAL ``` et dans la définition de ce `realm` l’attribut `kdc` doit être un nom de système complet (FQDN) et non pas `AdresseIPDuDC` et de même pour `admin_server`. L’utilisation de `FQDN` et de `DNS` est obligatoire. La partie de `krb5.conf` devient ```auto [realms] MONDOMAINE.LOCAL = { kdc = nomserveur.mondomaine.local admin_server = nomserveur.mondomaine.local auth_to_local_names = { administrateur@MONDOMAINE.LOCAL = root } } ``` Je vous invite aussi à compléter le fichier `/etc/hosts` avec ```auto xx.xx.xx.xx nomserveur.mondomaine.local nomserveur ``` et dans `smb.conf` ```auto password server = nomserveur.mondomaine.local ``` et dans `/etc/ntp.conf` ```auto server nomserveur.mondomaine.local ``` Dans `/etc/resolv.conf` (éventuellement généré à partir d’autres sources) vous devriez trouver la recherche par défaut ```auto search mondomaine.local ``` ainsi que ```auto nameserver xx.xx.xx.xx # IP de nomserveur.mondomaine.local ``` Comme vous pouvez le constater les chaînes `nomserveur.mondomaine.local` et `MONDOMAINE.LOCAL` doivent se retrouver dans un bon nombre de fichiers de configuration. Pour votre problème initial d’authentification, cela vient vraisemblablement de votre manière de procéder : au lieu de modifier manuellement la configuration `pam` ce qui est des plus périlleux, il vaut mieux trouver les noms des paquets dont l’installation configurera `pam` pour la fonctionnalité voulue. Le paquet `libpam-winbind` fournit `pam-winbind` qui apparaît dans vos modifications. Je vous conseille de sauvegarder votre configuration pam et de lancer ```auto sudo dpkg-reconfigure libpam-krb5 sudo dpkg-reconfigure libpam-winbind ``` Installer si ce n’est déjà fait le paquet `libnss-winbind` et faire les modifications dans `/etc/nsswitch.conf`de telle sorte que des commandes comme ```auto id administrateur ``` vous donne la liste des groupes auquel appartient l’utilisateur de l’AD. Cordialement, Regards, Mit freundlichen Grüßen, مع تحياتي الخالصة * * * F. Petitjean Ingénieur civil du Génie Maritime. Il vaut mieux se taire et passer pour un con plutôt que de parler et de ne laisser aucun doute à ce sujet. Pierre Desproges ---
**Author:** ![azrt](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/41988e/32.png) [@azrt](https://www.debian-fr.org/u/azrt)\ **Post date:** [Juillet 17, 2018, 7:55 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/5 "2018-07-17T07:55:35Z")
Bonjour, Merci encore pour votre retour, j’ai ajouté sous forme d’image car je n’avais pas la possibilité de mettre sous forme texte car trop de lien et le message était refusé. Je vais tester les modifications. ---
**Author:** ![anon29980398](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/f4b2a3/32.png) [@anon29980398](https://www.debian-fr.org/u/anon29980398)\ **Post date:** [Juillet 17, 2018, 9:20 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/6 "2018-07-17T09:20:32Z")
Bonjour **azrt** > [@azrt](#): > > …trop de lien et le message était refusé. > … Pour éviter l’interprétation des lignes de texte en liens tu pourrais formater tes blocs de texte en ajoutant juste avant la première ligne du bloc une ligne ne contenant que : ```text et juste après la dernière ligne du bloc une ligne ne contenant que : ``` ce qui, par exemple, donnera : ```plaintext https://www.debian-fr.org/ https://linuxfr.org/ ``` au lieu de : [https://www.debian-fr.org/](https://www.debian-fr.org/) > **[Accueil - LinuxFr.org](https://linuxfr.org/)** > > L’actualité du logiciel libre et des sujets voisins (DIY, Open Hardware, Open Data, les Communs, etc.), sur un site francophone contributif géré par une équipe bénévole par et pour des libristes enthousiastes ---
**Author:** ![azrt](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/41988e/32.png) [@azrt](https://www.debian-fr.org/u/azrt)\ **Post date:** [Juillet 19, 2018, 9:07 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/7 "2018-07-19T09:07:24Z")
lorsque je tape la commande wbinfo -u et wbinfo -g cela m’affiche bien mes groupes et utilisateurs présent dans l’AD Lorsque je tape la commande id mon\_utilisateur, j’ai en retour id: « mon\_utilisateur » : utilisateur inexistant les utilisateurs ne sont pas remontés sur debian, je pense que le problème vient de là. Si vous savez pourquoi ? Merci ---
**Author:** ![littlejohn75](https://www.debian-fr.org/user_avatar/www.debian-fr.org/littlejohn75/32/3840_2.png) [@littlejohn75](https://www.debian-fr.org/u/littlejohn75)\ **Post date:** [Juillet 19, 2018, 10:15 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/8 "2018-07-19T10:15:54Z")
> [@azrt](#): > > les utilisateurs ne sont pas remontés sur debian, Cherchez du côté du paquet `libnss-winbind` (voir message 4) ```auto apt-cache policy libnss-winbind fgrep winbind /etc/nsswitch.conf getent passwd nom_utilisateur getent hosts nom_machine ``` Cordialement, Regards, Mit freundlichen Grüßen, مع تحياتي الخالصة * * * F. Petitjean Ingénieur civil du Génie Maritime. « Un ordinateur c’est comme un frigo : on le branche et ça marche. » Laurent Serano Directeur informatique, réunion Délégués du Personnel 2010 ---
**Author:** ![azrt](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/41988e/32.png) [@azrt](https://www.debian-fr.org/u/azrt)\ **Post date:** [Juillet 20, 2018, 9:05 UTC](https://www.debian-fr.org/t/ajouter-debian-9-dans-un-domaine/77216/9 "2018-07-20T09:05:21Z")
Cela fonctionne, merci beaucoup pour votre aide.