SSSD is Offline: Solución a Errores de Autenticación con AD en RHEL8

Este artículo aborda un problema común al configurar SSSD y KRB5 para la autenticación con un servidor AD Windows 2012R2 en una máquina RHEL8. A pesar de que la unión al dominio AD se completa sin problemas, los usuarios del dominio no se recuperan y se recibe el error «: no such user» al utilizar el comando «id».

El autor del problema describe en detalle la configuración realizada, incluyendo la información del servidor AD, las opciones de SSSD y los pasos para la unión al dominio. Aunque la máquina se une correctamente al dominio, la comunicación con el catálogo global del servidor AD parece estar interrumpida.

Detalles del Problema y Configuración

El problema se presenta en una máquina RHEL8 que intenta unirse a un dominio AD Windows 2012R2. Se ha seguido el proceso estándar de unión al dominio, incluyendo la configuración del servicio SSSD y la creación de un archivo de configuración KRB5.

La configuración de SSSD incluye la definición de los siguientes parámetros:

• domain: Especifica el nombre de dominio AD.
• workgroup: Establece el nombre del grupo de trabajo al que pertenece el servidor AD.
• krb5_realm: Indica el dominio Kerberos utilizado para la autenticación.
• usefullyqualified_names: Activa el uso de nombres completamente cualificados para la búsqueda de usuarios.

La configuración de KRB5 se ha realizado mediante el archivo /etc/krb5.conf, incluyendo la definición del servidor KDC (Key Distribution Center) y el dominio Kerberos.

Análisis del Error: SSSD is Offline

El análisis del problema se centró en la detección del estado de SSSD y el servicio de directorio. Se ejecutan los siguientes comandos para obtener información relevante:

• systemctl status sssd: Verifica el estado del servicio SSSD.
• sssd -vv: Proporciona información detallada sobre la configuración y el estado de SSSD.
• kinit: Intenta obtener un ticket de Kerberos del servidor AD.

Los resultados de estos comandos revelaron que el servicio SSSD se encuentra activo y que se han detectado los servidores AD del dominio. Sin embargo, SSSD no logra conectarse al catálogo global del servidor AD.

Solución: Verificación de la Conectividad al Catálogo Global

El problema se resolvió al identificar y solucionar un error en la conectividad al catálogo global del servidor AD. El servidor AD funciona correctamente, pero el catálogo global parece inactivo desde la perspectiva de la máquina RHEL8.

Se llevaron a cabo las siguientes acciones para solucionar el problema:

• Verificación de la conectividad al catálogo global: Se utilizaron herramientas como nslookup y ping para comprobar si la máquina RHEL8 podía comunicarse con el servidor AD que alberga el catálogo global.
• Configuración de firewall: Se revisaron las reglas de firewall en la máquina RHEL8 y en el servidor AD para asegurarse de que no estaban bloqueando el tráfico de Kerberos.
• Verificación de la configuración DNS: Se comprobó la configuración DNS en la máquina RHEL8 para garantizar que se resolvieran correctamente los nombres de dominio del servidor AD y del catálogo global.

Conclusión

El problema de SSSD is offline se resolvió al identificar y solucionar la conectividad al catálogo global del servidor AD. Se verificó la configuración de firewall, DNS y la conectividad de red para garantizar que la máquina RHEL8 pudiera comunicarse correctamente con el servidor AD.

Resumen de Soluciones y Pruebas

En resumen, para solucionar el problema de SSSD is offline y la incapacidad de autenticarse con el servidor AD, se puede seguir el siguiente proceso:

1. Verificar el estado de SSSD: Utilizar los comandos systemctl status sssd y sssd -vv para obtener información sobre la configuración y el estado del servicio SSSD.
2. Comprobar la conectividad al catálogo global: Usar nslookup y ping para verificar la comunicación con el servidor AD que alberga el catálogo global.
3. Revisar la configuración de firewall: Asegurarse de que las reglas de firewall no bloqueen el tráfico de Kerberos en la máquina RHEL8 y el servidor AD.
4. Comprobar la configuración DNS: Garantizar que la configuración DNS en la máquina RHEL8 resuelva correctamente los nombres de dominio del servidor AD y del catálogo global.
5. Reajustar la configuración de SSSD: Si la configuración de SSSD es incorrecta, actualizarla con los parámetros adecuados para el dominio AD y el catálogo global.

Al aplicar estas soluciones y pruebas, se garantiza un funcionamiento correcto del servicio SSSD y la autenticación con el servidor AD.