⁠Глава 4. Клиент сети Active Directory

⁠4.1. SSSD vs Winbind

Существует несколько способов прямого подключения системы Linux к AD. В этом разделе описаны функции и возможности двух вариантов интеграции: решение на основе Samba winbind и решение на базе SSSD.

Машины под управлением ОС Альт рекомендуется вводить в домен AD с помощью SSSD, но есть несколько исключений:

Если в сети уже развернуты системы Linux, которые уже используют Samba winbind для целей интеграции.
Если используется AD с включенным протоколом NTLM (так как SSSD не поддерживает протокол NTLM).
Если SSSD не поддерживает определенную функцию, которую поддерживает winbind (например, SSSD не поддерживает доверительные отношения AD между лесами при прямом подключении к AD).

Ниже рассмотрены преимущества и недостатки интеграции на основе Samba winbind и на базе SSSD.

Преимущества варианта интеграции с использованием Samba Winbind:

Samba Winbind эмулирует клиент Windows в системе Linux и использует преимущества собственных протоколов Windows и расширений протокола LDAP;
Winbind понимает концепцию доменов и лесов, а также работает с доверием между доменами и лесами;
Winbind может обнаруживать серверы, используя DNS;
Winbind может переключиться на другой сервер, если контроллер домена AD становится недоступным;
Winbind может динамически выполнять сопоставление идентификаторов на основе идентификаторов объектов AD (SID) или использовать атрибуты POSIX, хранящиеся в AD (если эти расширения были загружены).;
Winbind хорошо интегрируется с клиентом Samba FS и CIF;
безопасность соединения основана на идентификации клиентской системы и ключах Kerberos, выданных этой системе.

Ограничения Samba Winbind:

политики не управляются централизованно и должны распространяться вне группы;
может подключаться только к AD.

SSSD это группа служб, которые являются частью ядра операционной системы Linux и работают вместе для обеспечения аутентификации, поиска удостоверений и возможностей управления доступом для системы Linux. SSSD может взаимодействовать с AD, FreeIPA, Samba DC или любыми другими стандартными реализациями сервера LDAP и/или Kerberos.

Единственным серьезным ограничением для интеграции с использованием SSSD, является поддержка (старого) протокола NTLM. SSSD не реализует этот протокол, потому что по современным стандартам NTLM больше не является безопасным для развертывания. Наилучшей практикой является отказ от использования NTLM.

Преимущества SSSD:

возможность загрузки и применения политик управления доступом на основе хоста с использованием объектов групповой политики, управляемых в AD;
может взаимодействовать с разными источниками идентификации, а не только с AD;
поддерживает очистку DNS (т.е. обнаруживает, были ли удалены или обновлены записи DNS для серверов);
предоставляет расширенные интерфейсы идентификации на локальной шине сообщений (D-Bus). Этот интерфейс можно использовать для лучшей интеграции приложений, работающих в ОС Linux, с корпоративными источниками идентификации, такими как AD и FreeIPA.

⁠

Таблица 4.1. Сравнение Winbind и SSSD

Категория	Описание	Winbind	SSSD
Аутентификация	Проверка подлинности с использованием Kerberos	Да	Да
	Проверка подлинности LDAP	Да	Да
	Поддержка нескольких доменов AD	Да	Да
	Поддержка лесов AD	Да	Да
	Поддержка гетерогенных сетей AD/FreeIPA	Нет	Да
Безопасность	Простота настройки безопасной конфигурации	Нет	Да
	Система имеет идентификатор и её ключ используется для защиты доступа к центральному серверу	Да	Да
	Поддержка NTLM	Да	Нет
Поиск и сопоставление идентификаторов	Динамическое сопоставление идентификаторов AD SID	Да	Да
Поиск и сопоставление идентификаторов	Использование преимуществ конкретных расширений и протоколов AD	Да	Да
DNS	Обновление и очистка DNS AD	Нет	Да
DNS	Поддержка сайтов AD DNS	Да	Да
Обмен файлами	Интеграция с Samba FS	Да	Да
Обмен файлами	Интеграция с клиентом CIFS	Да	Да
Служба печати	Сервер печати CUPS с использованием Kerberos	Да	Да
Политики	Централизованное управление контролем доступа на основе хоста через GPO	Нет	Да
Интеграция с другими сервисами и приложениями	Интеграция с основными утилитами, такими как SSH, sudo, automount	Нет	Да
	Расширенные интерфейсы идентификации по локальной шине сообщений D-Bus	Нет	Да
	Специальные функции для приложений (Docker, Cockpit, GSS Proxy и др.)	Нет	Да