Introduction

Intégrer une machine Linux dans un domaine Active Directory est un petit chef-d’œuvre d’équilibre entre protocoles : LDAP pour lire les données, Kerberos pour s’authentifier, DNS pour trouver le domaine, et SSSD pour tout relier.
Dans ce projet, on passe à la pratique totale : configuration, jonction au domaine, audit LDAP, montage SMB en SSO et scripts d’automatisation Bash.
Voir l’article correspondant : ICI

🎯 Objectifs du projet

• Joindre une machine Linux à un domaine Active Directory.
• Authentifier des utilisateurs AD via SSSD.
• Interroger LDAP pour auditer les comptes et groupes.
• Monter un partage SMB/CIFS avec Kerberos.
• Écrire des scripts Bash d’audit Active Directory.

⚙️ Pré-requis

🔐 Étape 1 – Kerberos côté Linux

Kerberos gère toute la confiance entre le poste Linux et le domaine.

Pourquoi ?
Kerberos permet le SSO (Single Sign-On) sécurisé : plus besoin de mot de passe en clair, tout passe par un ticket chiffré temporaire.

🧩 Étape 2 – SSSD : authentifier les utilisateurs AD

SSSD (System Security Services Daemon) est la brique d’intégration entre Linux et Active Directory.
Il interagit avec PAM (authentification) et NSS (résolution des identités).

Pourquoi ?
SSSD interroge LDAP pour les identités et Kerberos pour l’authentification.
Il garde un cache local, utile si le DC devient temporairement inaccessible.

🧭 Étape 3 – Joindre le domaine Active Directory

Deux approches existent : realmd/adcli (moderne) et Samba/net ads join (classique).

a) Via realmd/adcli (recommandé)

b) Via Samba net ads join (optionnel)

Astuce :
Le fichier /etc/krb5.keytab contient le ticket machine.
Ne jamais le copier ni le partager.

🔍 Étape 4 – Interroger Active Directory via LDAP

Une fois joint au domaine, on peut auditer AD directement en ligne de commande.

Pourquoi ?
Ces commandes permettent d’auditer l’état réel du domaine sans console graphique.
Parfait pour les scripts d’audit ou de conformité.

📂 Étape 5 – Monter un partage SMB/CIFS avec Kerberos

Grâce à la jonction Kerberos, Linux peut accéder à des partages Windows en SSO.

🧮 Étape 6 – Scripts d’audit Active Directory en Bash

Ces scripts s’exécutent depuis n’importe quelle machine Linux membre du domaine.

🔹 Exemple 1 : lister les utilisateurs désactivés

#!/bin/bash
ldapsearch -Y GSSAPI -b "DC=exemple,DC=com" \
  "(userAccountControl:1.2.840.113556.1.4.803:=2)" \
  sAMAccountName | grep sAMAccountName | awk '{print $2}' > users_disabled.csv
echo "Export terminé : $(wc -l < users_disabled.csv) utilisateurs désactivés."

🔹 Exemple 2 : détecter les ordinateurs inactifs

#!/bin/bash
THRESHOLD=120 # jours
NOW=$(date +%s)
ldapsearch -Y GSSAPI -b "DC=exemple,DC=com" "(objectClass=computer)" cn pwdLastSet |
while read -r line; do
  # Conversion de pwdLastSet en secondes
  if [[ "$line" =~ pwdLastSet:\ ([0-9]+) ]]; then
    FILETIME=${BASH_REMATCH[1]}
    LASTSET=$(( (FILETIME/10000000)-11644473600 ))
    AGE=$(( (NOW - LASTSET)/86400 ))
    if (( AGE > THRESHOLD )); then
      echo "Machine inactive : $AGE jours"
    fi
  fi
done

Pourquoi ?
Ces scripts automatisent les audits récurrents sans dépendre d’outils tiers.

🧱 Étape 7 – Sécurité et durcissement

🧩 Étape 8 – Dépannage rapide

⚡ Cas avancés

• Sudo via groupes AD :
  Ajoutez sudo_provider = ad dans sssd.conf et définissez les règles via GPO ou sudoers.d.
• Création automatique de home :
  Activez pam_mkhomedir.so pour créer /home/%u à la première connexion.
• Automount NFS avec identités AD :
  Possible via autofs et Kerberos (intégration avancée).

💬 Retour d’expérience du lecteur

Vous avez intégré des serveurs Linux à AD dans des environnements multi-domaines ?
Vos retours sur les performances de SSSD ou les problèmes de cache sont précieux : partagez-les en commentaire !

🧪 Exercices pratiques

🧩 Conclusion

L’intégration Linux ↔ Active Directory repose sur quatre piliers : Kerberos, LDAP, SSSD et SMB.
Bien configurée, elle permet d’utiliser les identités AD de manière fluide dans Bash et d’automatiser les audits via scripts.

Cette approche unifie l’administration des systèmes hybrides et prépare le terrain pour des environnements cross-platform sécurisés et maintenables.

Et vous, comment avez-vous intégré vos serveurs Linux à Active Directory ?
Partagez votre expérience et vos astuces !

✅ Solutions des exercices

E1 – Kerberos :
kinit alice@EXEMPLE.COM && klist doit afficher un ticket valide.

E2 – Join AD :
realm join --user=admin-join@EXEMPLE.COM exemple.com puis id alice → UID/GID renvoyés.

E3 – Audit LDAP :
Utiliser ldapsearch -Y GSSAPI "(userAccountControl:1.2.840.113556.1.4.803:=2)".

E4 – SMB SSO :
sudo mount -t cifs //srvad/share /mnt/share -o sec=krb5,cruid=$(id -u alice) puis df -h.

🧭 Pour aller plus loin avant ou après ce projet :

Avant de plonger dans les tableaux et structures, jette un œil à ces articles complémentaires :

• 🧠 Bases du scripting Bash — comprendre le shebang, les variables et la structure d’un script.
• ⚙️ Variables et opérateurs en Bash — tout sur les variables spéciales, d’environnement et les opérateurs.
• 🔁 Boucles et conditions en Bash — la logique répétitive : for, while, if, case.
• 🧩 Tableaux, dictionnaires – structures avancées en Bash – Part 4
• 🧠Gestion des erreurs et débogage en Bash – maîtriser la gestion des erreurs Bash, du set -e au trap ERR – Part 5
• 🧾 Fichiers, logs et flux en Bash (Audit & Maintenance) – Savoir les lire, les transformer, les filtrer – Part 6
• 🧰 Services, réseau et supervision sous Linux – Du systemctl au monitoring Bash – Part 7
  

Liens externes recommandés :

• Documentation Kerberos MIT
• Documentation Samba
• Microsoft Learn – LDAP et Active Directory