Configurer l’authentification Kerberos sur RHEL 9 avec SSSD

admin@rhel9:~$ sudo realm join --user=AdminAD EXEMPLE.LOCAL
Password for AdminAD@EXEMPLE.LOCAL: ********
Successfully joined the realm.

admin@rhel9:~$ kinit user1@EXEMPLE.LOCAL
Password for user1@EXEMPLE.LOCAL: ********

admin@rhel9:~$ klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: user1@EXEMPLE.LOCAL

Valid starting     Expires            Service principal
10/24/2026 09:12:45  10/24/2026 19:12:45  krbtgt/EXEMPLE.LOCAL@EXEMPLE.LOCAL

Contexte 📘

Dans un environnement hybride, il est fréquent de devoir authentifier des machines Linux auprès d’un domaine Active Directory (AD). Kerberos, combiné avec le service SSSD (System Security Services Daemon), offre une solution sécurisée et centralisée pour la gestion des comptes, groupes et politiques.

Quand l’utiliser ? 🕒

• Serveurs RHEL 9 devant rejoindre un AD existant.
• Besoin d’authentification unique (SSO) entre Windows et Linux.
• Gestion centralisée des politiques de mot de passe et d’accès.

🔹 Étapes de configuration

1. Installer les paquets requis.

   sudo dnf install -y sssd realmd krb5-workstation samba-common-tools

2. Découvrir le domaine AD. Remplacez EXEMPLE.LOCAL par votre suffixe DNS.

   sudo realm discover EXEMPLE.LOCAL

3. Rejoindre le domaine en spécifiant un compte administrateur AD.

   sudo realm join --user=AdminAD EXEMPLE.LOCAL

4. Vérifier la configuration Kerberos (/etc/krb5.conf) générée automatiquement.

   cat /etc/krb5.conf

5. Configurer SSSD pour utiliser Kerberos et LDAP.

   sudo cp /etc/sssd/sssd.conf /etc/sssd/sssd.conf.bak  
   sudo tee /etc/sssd/sssd.conf > /dev/null <<'EOF'  
   [sssd]  
   services = nss, pam  
   domains = EXEMPLE.LOCAL  
     
   [domain/EXEMPLE.LOCAL]  
   id_provider = ad  
   override_homedir = /home/%u@%d  
   default_shell = /bin/bash  
   ldap_id_mapping = true  
   use_fully_qualified_names = false  
   fallback_homedir = /home/%u@%d  
   ad_domain = EXEMPLE.LOCAL  
   krb5_realm = EXEMPLE.LOCAL  
   realmd_tags = manages-system joined-with-samba  
   cache_credentials = true  
   enumerate = true  
   EOF  
   sudo chmod 600 /etc/sssd/sssd.conf  
   sudo systemctl restart sssd

6. Tester l’authentification Kerberos avec un compte AD.

   kinit user1@EXEMPLE.LOCAL  
   klist

7. Vérifier que les utilisateurs AD peuvent se connecter localement.

   su - user1

⚠️ Méthode alternative

Si vous ne pouvez pas utiliser realmd, vous pouvez configurer manuellement /etc/krb5.conf et /etc/sssd/sssd.conf puis rejoindre le domaine avec net ads join (outil Samba).

⚠️ Bonnes pratiques de sécurité

• Restreindre l’accès au fichier sssd.conf à 600 (root uniquement).
• Activer le chiffrement du trafic LDAP en ajoutant ldap_tls_reqcert = demand dans la section [domain/…].
• Utiliser des mots de passe forts pour le compte AD qui joint les machines.
• Mettre en place la rotation des tickets Kerberos via krb5renew ou le service sssd.

✅ Conclusion

En suivant ces étapes, votre serveur RHEL 9 devient un membre à part entière d’un domaine Active Directory, profitant de l’authentification Kerberos sécurisée et d’une gestion centralisée des comptes. Cette intégration simplifie la vie des administrateurs et renforce la cohérence des politiques de sécurité dans un environnement mixte.