Ввод устройства в домен

Доступна только в UEM версии

Описание

Ввод устройства в домен — политика для ввода устройства в домен Active Directory на Windows, Linux и macOS

Политика проверяет входные параметры, подготавливает настройки, выполняет ввод в домен средствами соответствующей ОС и затем подтверждает результат

Примечание

Поддерживаемые операционные системы:

  • Windows

  • macOS

  • Linux

Важно

Для ввода устройства в домен требуется доменная учётная запись с правом присоединять устройства к Active Directory

Перед запуском политики рекомендуется:

  • указывать корректное DNS-имя домена

  • заранее проверить доступность контроллера домена и корректность DNS

  • убедиться, что имя устройства соответствует требованиям доменной инфраструктуры

  • выполнять тестовый запуск на одном устройстве перед массовым применением

Примечание

Ключевые особенности работы политики:

  • Для Linux и macOS обязательно требуется указать адрес контроллера домена

  • Для Windows поле адреса контроллера домена необязательно, но при его указании политика может дополнительно настроить DNS сетевых адаптеров

  • Поле Имя подразделения поддерживается на Windows, Linux и macOS. Если оставить его пустым, учетная запись компьютера будет создана в контейнере или подразделении по умолчанию

  • Если устройство уже состоит в другом домене, политика завершится ошибкой и не будет автоматически переключать устройство между доменами

  • При повторном запуске с теми же параметрами политика не должна повторно вводить устройство в домен, если состояние уже корректно подтверждено

  • На некоторых Linux-системах команда realm list может не показывать текущее подключение даже при успешном вводе в домен. В таких случаях политика опирается на adcli testjoin и наличие рабочих конфигурационных файлов

  • На Linux-системах, где adcli не поддерживает команду show-computer, политика пропускает эту проверку и подтверждает ввод по adcli testjoin и обязательным файлам конфигурации

  • Если на Linux обнаружено неполное предыдущее подключение к домену, политика может сначала очистить старое состояние и затем повторно выполнить ввод в домен

Особенности по операционным системам

Windows

На Windows политика:

  • при необходимости настраивает DNS-серверы сетевых адаптеров

  • поддерживает указание подразделения Active Directory для создаваемой учетной записи компьютера

  • автоматически перезагружает устройство только в том случае, если это требуется для завершения ввода в домен

Если Windows-устройство уже состоит в другом домене, политика завершится ошибкой и предложит сначала вывести устройство из текущего домена

macOS

На macOS политика:

  • проверяет доступность встроенного AD-коннектора macOS

  • настраивает DNS search domain и DNS-сервер на доступных сетевых сервисах

  • проверяет разрешение домена, а также наличие LDAP и Kerberos SRV-записей

  • пытается настроить синхронизацию времени с контроллером домена

  • поддерживает указание подразделения Active Directory

  • при необходимости использует нормализованный Computer ID, если локальное имя устройства содержит неподходящие символы

После успешного ввода macOS-устройства автоматическая перезагрузка не выполняется, но пользователю рекомендуется выйти из текущей сессии и войти доменной учетной записью

Linux

На Linux политика выполняет больше подготовительных действий, чем на Windows и macOS

Она может:

  • автоматически установить необходимые пакеты для работы с доменом

  • проверить текущее состояние доменного подключения до начала изменений

  • восстановить неполное предыдущее подключение к домену

  • настроить синхронизацию времени с контроллером домена

  • получить сведения о домене через realm и adcli

  • настроить /etc/krb5.conf и /etc/sssd/sssd.conf

  • при необходимости скорректировать /etc/hosts

  • настроить PAM и /etc/nsswitch.conf

  • перезапустить и проверить службы sssd и, на части систем, oddjobd

  • после успешного ввода в домен автоматически перезагрузить устройство

Предупреждение

Что может изменить политика на Linux:

  • /etc/chrony.conf

  • /etc/krb5.conf

  • /etc/sssd/sssd.conf

  • /etc/hosts

  • /etc/nsswitch.conf

  • PAM-конфигурацию, включая /etc/pam.d/common-* или /etc/pam.d/system-auth

Если на устройстве уже есть собственная нестандартная доменная или PAM-конфигурация, перед применением политики рекомендуется проверить её совместимость

Свойства политики

После выбора шаблона политики откроется окно с её свойствами

Вкладка «Политика» содержит следующие поля:

  • Название — имя политики в системе

    Важно

    Для выполнения или сохранения политики название обязательно для заполнения

  • Имя домена — DNS-имя домена Active Directory, в который нужно ввести устройство

    Важно

    Указывайте именно DNS-имя домена

    Пример: corp.company.local

  • Адрес контроллера домена — IP-адрес или FQDN контроллера домена Active Directory

    Примечание

    Для Linux и macOS это поле обязательно

    Для Windows поле необязательно, но может использоваться для настройки DNS сетевых интерфейсов

    Примеры: 192.168.10.157 или dc01.corp.company.local

  • Имя администратора домена — имя доменной учетной записи, имеющей право присоединять устройства к домену

    Важно

    Указывайте учетную запись с правом ввода устройств в домен

    Пример: Administrator или Администратор

  • Пароль администратора домена — пароль доменной учетной записи администратора

  • Имя подразделения — необязательный параметр, позволяющий указать LDAP DN подразделения Active Directory, в котором должна быть создана учетная запись компьютера

    Примечание

    Поле поддерживается на Windows, Linux и macOS

    Примеры:

    • OU=Linux,OU=Servers

    • OU=Linux,OU=Servers,DC=corp,DC=local

    Если поле оставить пустым, учетная запись компьютера будет создана в контейнере или подразделении по умолчанию, настроенном в домене

    Важно

    Поле должно быть указано в формате LDAP DN

Остальные вкладки описаны на странице Политики

Как работает политика

Общая логика

При выполнении политика:

  1. проверяет входные параметры

  2. определяет тип операционной системы

  3. проверяет, поддерживается ли ввод устройства в домен для данной ОС

  4. подготавливает параметры подключения

  5. выполняет ввод устройства в домен средствами соответствующей ОС

  6. проверяет, что доменное подключение действительно работает

  7. формирует итоговый результат выполнения

Что дополнительно делает Linux-ветка

На Linux политика выполняет расширенный сценарий:

  1. проверяет текущее состояние доменного подключения

  2. проверяет корректность hostname устройства

  3. при необходимости устанавливает доменные зависимости

  4. настраивает время и DNS/Kerberos-параметры

  5. получает сведения о контроллере домена

  6. выполняет ввод через realm join или резервно через adcli join

  7. настраивает krb5.conf, sssd.conf, PAM и NSS

  8. перезапускает службы и проверяет готовность доменной аутентификации

  9. подтверждает успешный ввод через adcli testjoin и наличие обязательных файлов, а при поддержке дополнительно через adcli show-computer

  10. запускает отложенную перезагрузку устройства

Пример

Для ввода устройства в домен необходимо:

  1. Нажать на кнопку Добавить Политику в верхнем правом углу экрана на странице Политики

  2. Выбрать шаблон политики «Ввод устройства в домен» из списка предложенных шаблонов

  3. Заполнить поле Название

    Например: Ввод устройства в домен

  4. Заполнить поле Имя домена

    Например: corp.company.local

  5. Заполнить поле Адрес контроллера домена

    Например: 192.168.10.157

  6. Заполнить поле Имя администратора домена

    Например: Администратор

  7. Заполнить поле Пароль администратора домена

    Например: Пароль

  8. При необходимости заполнить поле Имя подразделения

    Например: OU=Linux,OU=Servers,DC=corp,DC=local

  9. Нажать на кнопку Сохранить

  10. Выполнить Тестовый запуск на устройстве для проверки работоспособности политики

  11. После применения политики:

    • Устройство будет введено в указанный домен

    • На Windows устройство может быть автоматически перезагружено, если это требуется для завершения ввода в домен

    • На Linux устройство будет автоматически перезагружено после успешного ввода в домен

    • На macOS рекомендуется выйти из текущей сессии и войти доменной учетной записью

    • На Linux будут изменены системные настройки, необходимые для работы доменной аутентификации

Нюансы и возможные причины ошибок

Общие причины проблем

При вводе устройства в домен учитывайте:

  • Некорректные DNS-настройки — одна из самых частых причин ошибок ввода в домен

  • Неверное имя домена, адрес контроллера домена, имя администратора или пароль приведут к ошибке подключения

  • Если устройство уже состоит в другом домене, политика не будет переключать его автоматически

  • Перед массовым применением политики рекомендуется выполнить тестовый запуск на одном устройстве

Нюансы Linux

  • Для Linux обязательно указывать адрес контроллера домена

  • Linux-ветка чувствительна к корректности времени. Если время устройства заметно отличается от времени контроллера домена, Kerberos-аутентификация может не работать

  • Если hostname устройства некорректный, политика завершится ошибкой до попытки ввода в домен

  • Если в домене уже существует конфликтующая учетная запись компьютера с тем же именем, политика завершится ошибкой

  • Если realm discover не смог обнаружить домен, политика попытается продолжить работу через adcli

  • Если realm list после ввода не показывает домен, но adcli testjoin проходит успешно, политика все равно может считать ввод успешным

  • Если команда adcli show-computer недоступна в используемой версии adcli, политика пропустит эту проверку и продолжит подтверждение ввода по доступным проверкам

  • Если доменная учетная запись после ввода не начинает резолвиться через SSSD/NSS, вход пользователя может не работать до устранения проблемы

  • На Astra Linux политика дополнительно отключает ad_gpo_access_control в sssd.conf, чтобы доменный вход не блокировался на сервисе fly-dm после успешного ввода в домен

  • После успешного ввода Linux-устройство перезагружается автоматически, поэтому это нужно учитывать при запуске политики на рабочих машинах

Нюансы macOS

  • На macOS должен быть доступен /usr/sbin/dsconfigad

  • Для успешного ввода macOS-устройства в домен особенно важны корректные SRV-записи DNS и синхронизация времени

  • Если локальное имя компьютера содержит неподходящие символы, для привязки может использоваться измененный Computer ID

  • При ошибке вида Node name wasn't found. (2000) следует дополнительно проверить синхронизацию времени и DNS

Нюансы Windows

  • На Windows политика может изменить DNS-настройки сетевых интерфейсов, если указан адрес контроллера домена

  • После успешного ввода в домен Windows-устройство перезагружается только при необходимости