Unir a Active Directory

Antonio Trujillo Carmona

unread,

Jun 21, 2021, 4:20:03 AM6/21/21

to

Desde hace tiempo estoy sufriendo problemas con la unión a AD.

En antiguas versiones lo normal era unir a AD con winbind

Desde que salio la versión 10 el "estándar" es usar sssd y realmd, pero
se puede seguir usando winbind.

Por ir con la norma pase los servidores a sssd, la red es muy extensa y
con algunos controladores de dominio es subredes bloqueados por
cortafuegos, se que es un absurdo pero es lo que hay y no puedo evitarlo.

para evitar los fallos de "timeout" cuando el DNS le da un DC fuera de
alcance he añadido:

ad_server = xxxx.xxxx.es
ad_server_backup = yyyy.yyyyy.es
id_server = xxxx.xxxx.es
id_server_backup = yyyy.yyyyy.es

Esto parece resolver el problema, pero cuando listas ficheros (ls -l) o intentas hacer sudo su, no, se puede tirar 15' hasta responder.
He comprobado que a las versiones de RedHat no tiene este problema usando sssd y realmd, he probado a copiar configuraciones pero en Debian sigue apareciendo el problema y en RH no.
Ademas a la hora de compartir por samba con permisos en grupos de AD falla mucho.
Con winbind no había ninguno de estos problemas.
¿Alguien sabe algo?.
La tentación es usar winbind, pero como tenemos muchos servidores linux, unos RH y otros Debian lo deseable es unificar configuraciones para que sea mas facil de mantener por compañeros menos puestos en Linux.
95 Debian
17 Ubuntu
26 Otros Linux
113 OEL/RedHat/Centos
2 Suse
4 FreeBSD
371 Windows

Camaleón

unread,

Jun 22, 2021, 2:20:03 AM6/22/21

to

El 2021-06-21 a las 09:55 +0200, Antonio Trujillo Carmona escribió:

> Desde hace tiempo estoy sufriendo problemas con la unión a AD.

(...)

No he trabajado con dominios, así que probablemente no te diga nada que
no sepas o hayas probado ya, pero quizá te sirva de algo este artículo,
que aunque va enfocado a Fedora te puede dar alguna pista para
configurar el servicio sssd y reducir los tiempos de consulta/respuesta.

Why is id so slow with SSSD?
https://jhrozek.livejournal.com/3195.html

Performance tuning SSSD for large IPA-AD trust deployments
https://jhrozek.wordpress.com/2015/08/19/performance-tuning-sssd-for-large-ipa-ad-trust-deployments/

Saludos,

--
Camaleón

Antonio Trujillo Carmona

unread,

Jun 22, 2021, 6:20:04 AM6/22/21

to

El 22/6/21 a las 8:16, Camaleón escribió:

Gracias, los mirare.

Antonio Trujillo Carmona

unread,

Jun 24, 2021, 3:50:03 AM6/24/21

to

El 22/6/21 a las 12:17, Antonio Trujillo Carmona escribió:

Perfecto, solo con la linea:

ignore_group_members=True

se ha solucionado el problema que llevaba mucho tiempo dándome la lata.

Se trata de cambiar la lógica en la que se descarga los datos del LDAP
de AD, sin esa linea se baja todos los miembros de todos los grupos para
responder a búsquedas del tipo ¿quien es miembro de tal grupo?, esto no
es realmente necesario, ya que para validación la pregunta es ¿es
fulanito miembro de tal grupo? con lo que basta con que se descargue los
datos del usuario que se conecta y la lista de grupos, no el contenido
de ellos, de los datos del usuario obtiene los GID a los que pertenece y
de la lista de grupos comprueba si el nombre del grupo al que pertenece
el GID, no necesitando en ningún momento la lista de usuarios y UID de
los que no se están conectando.

Muchas gracias Camaleón llevaba, literalmente, años sufriendo el problema.