Samba as Active Directory DC

Level: Advanced Module: File Sharing & Print 11 min read Lesson 37 of 66

Overview

What you will learn: How to provision Samba as a full Active Directory Domain Controller on Ubuntu, providing centralized authentication, DNS integration, and Kerberos-based security. You will configure the domain, manage users and groups, and join Windows and Linux clients to the domain.
Prerequisites: Samba file server basics (Lesson 36), solid understanding of DNS and networking concepts
Estimated reading time: 20 minutes

Active Directory Concepts

Active Directory (AD) is a directory service originally developed by Microsoft that provides centralized authentication, authorization, and configuration management for networked resources. Understanding its core concepts is essential before deploying Samba as a DC.

A domain is a logical grouping of network objects (users, computers, groups) that share a common directory database and security policies. A forest is the top-level container that holds one or more domains sharing a common schema and global catalog. A Domain Controller (DC) is the server that hosts the AD database and handles authentication requests.

AD relies heavily on three supporting services: DNS for locating domain controllers and services via SRV records, Kerberos for secure ticket-based authentication, and LDAP for directory lookups. Samba 4 implements all three, enabling a Linux server to function as a fully compatible AD Domain Controller that Windows clients can join natively.

# Key AD terminology:
# Domain:     example.com — the authentication boundary
# Forest:     The top-level domain tree (can contain child domains)
# DC:         Domain Controller — hosts the AD database (NTDS.DIT)
# FSMO:       Flexible Single Master Operations roles
# GPO:        Group Policy Objects for centralized configuration
# Kerberos:   Ticket-based authentication (port 88)
# LDAP:       Directory queries (port 389 / 636 for TLS)
# DNS:        Service discovery via SRV records (port 53)
# GC:         Global Catalog — cross-domain search (port 3268)

Provisioning the Samba AD Domain Controller

Provisioning converts a Samba installation into a full Active Directory Domain Controller. This process creates the AD database, configures DNS, sets up Kerberos, and establishes the initial domain administrator account.

# Install required packages
$ sudo apt update
$ sudo apt install samba krb5-config winbind smbclient

# Stop and disable existing Samba services
$ sudo systemctl stop smbd nmbd winbind
$ sudo systemctl disable smbd nmbd winbind

# Remove the default smb.conf — provision will create a new one
$ sudo mv /etc/samba/smb.conf /etc/samba/smb.conf.original

# Provision the domain (interactive mode)
$ sudo samba-tool domain provision --use-rfc2307 --interactive
# Realm:           EXAMPLE.COM
# Domain:          EXAMPLE
# Server Role:     dc
# DNS backend:     SAMBA_INTERNAL
# DNS forwarder:   8.8.8.8
# Administrator password: (set a strong password)

# The provision creates:
# /etc/samba/smb.conf       — new AD-enabled configuration
# /var/lib/samba/private/    — AD database (sam.ldb)
# /var/lib/samba/private/krb5.conf — Kerberos configuration

The --use-rfc2307 flag enables Unix attributes in AD (UID/GID numbers), which is critical for Linux clients. The SAMBA_INTERNAL DNS backend is simplest for initial deployments — Samba handles all DNS internally. For larger environments, you can use BIND9 with the Samba DLZ module.

# Copy the Kerberos configuration
$ sudo cp /var/lib/samba/private/krb5.conf /etc/krb5.conf

# Start the Samba AD DC service
$ sudo systemctl unmask samba-ad-dc
$ sudo systemctl enable samba-ad-dc
$ sudo systemctl start samba-ad-dc

# Verify the DC is running
$ sudo samba-tool domain level show
$ sudo samba-tool domain info 127.0.0.1

# Test DNS resolution
$ host -t SRV _ldap._tcp.example.com localhost
$ host -t SRV _kerberos._tcp.example.com localhost
$ host -t A dc1.example.com localhost

DNS Integration and Kerberos Configuration

A properly functioning AD DC depends on correct DNS and Kerberos configuration. DNS SRV records allow clients to automatically discover domain controllers, and Kerberos provides the secure authentication mechanism.

# Verify DNS SRV records are present
$ samba-tool dns query 127.0.0.1 example.com @ ALL -U administrator

# Add a reverse DNS zone
$ samba-tool dns zonecreate 127.0.0.1 1.168.192.in-addr.arpa -U administrator

# Add a PTR record for the DC
$ samba-tool dns add 127.0.0.1 1.168.192.in-addr.arpa 
    10 PTR dc1.example.com -U administrator

# Test Kerberos authentication
$ kinit administrator@EXAMPLE.COM
# Enter the administrator password

# Verify the Kerberos ticket
$ klist

# /etc/krb5.conf should contain:
[libdefaults]
    default_realm = EXAMPLE.COM
    dns_lookup_realm = false
    dns_lookup_kdc = true

[realms]
    EXAMPLE.COM = {
        kdc = dc1.example.com
        admin_server = dc1.example.com
        default_domain = example.com
    }

# Configure the server's /etc/resolv.conf to use itself for DNS
$ sudo nano /etc/resolv.conf
nameserver 127.0.0.1
search example.com

# Set the hostname properly
$ sudo hostnamectl set-hostname dc1
$ sudo nano /etc/hosts
192.168.1.10    dc1.example.com    dc1

The Kerberos realm name must be uppercase (EXAMPLE.COM) — this is a strict convention. The DC must use itself as the primary DNS server so that domain SRV records resolve correctly. Ensure the hostname is set as a fully qualified domain name (FQDN) and that /etc/hosts maps it correctly.

Managing Users, Groups, and Joining Clients

With the DC running, you can manage AD objects using samba-tool and join both Windows and Linux clients to the domain.

# Create AD users
$ sudo samba-tool user create jsmith --given-name=John --surname=Smith 
    --mail-address=jsmith@example.com
# Set a password when prompted

# List domain users
$ sudo samba-tool user list

# Create an organizational unit (OU)
$ sudo samba-tool ou create "OU=Engineering,DC=example,DC=com"

# Create a group
$ sudo samba-tool group create developers
$ sudo samba-tool group addmembers developers jsmith

# List group members
$ sudo samba-tool group listmembers developers

# Set Unix attributes (UID/GID) for Linux compatibility
$ sudo samba-tool user edit jsmith
# Set uidNumber, gidNumber, loginShell, unixHomeDirectory

# Reset a user password
$ sudo samba-tool user setpassword jsmith

# Disable / enable a user account
$ sudo samba-tool user disable jsmith
$ sudo samba-tool user enable jsmith

To join a Windows client, go to System Properties, change the domain from the workgroup to EXAMPLE.COM, and provide domain administrator credentials. The client will reboot and present a domain login screen.

# Join a Linux client to the domain
# On the client machine:
$ sudo apt install realmd sssd sssd-tools adcli packagekit

# Discover the domain
$ sudo realm discover example.com

# Join the domain
$ sudo realm join example.com -U administrator
# Enter the administrator password

# Verify the join
$ sudo realm list

# Test domain user lookup
$ id jsmith@example.com
$ getent passwd jsmith@example.com

# Configure SSSD for home directory creation
$ sudo nano /etc/sssd/sssd.conf
# Under [domain/example.com], add:
# fallback_homedir = /home/%u@%d

# Enable automatic home directory creation
$ sudo pam-auth-update --enable mkhomedir

# Login as a domain user
$ su - jsmith@example.com

Key Takeaways

Active Directory organizes network resources into domains within a forest; Domain Controllers host the directory database and handle authentication via Kerberos, DNS, and LDAP.
Samba 4 provisions a fully compatible AD DC using samba-tool domain provision with --use-rfc2307 for Unix attribute support; the internal DNS backend is suitable for most deployments.
Correct DNS configuration is critical — the DC must use itself as the primary DNS server, and SRV records must resolve for _ldap._tcp and _kerberos._tcp to enable client auto-discovery.
Kerberos authentication requires the realm name in uppercase, a properly configured /etc/krb5.conf, and correct hostname/FQDN resolution in /etc/hosts.
Linux clients join the domain using realmd and SSSD, which provide PAM and NSS integration for seamless domain user authentication and home directory creation.

What’s Next

In the next lesson, you will learn how to deploy and configure vsftpd for secure FTP file transfers, including chroot jails, TLS encryption, and virtual user support.

繁體中文

概述

學習內容：如何在 Ubuntu 上將 Samba 佈建為完整的 Active Directory 網域控制器，提供集中式驗證、DNS 整合和基於 Kerberos 的安全性。您將設定網域、管理使用者和群組，並將 Windows 和 Linux 用戶端加入網域。
先決條件：Samba 檔案伺服器基礎（第 36 課）、對 DNS 和網路概念的紮實理解
預計閱讀時間：20 分鐘

Active Directory 概念

Active Directory（AD）是由 Microsoft 最初開發的目錄服務，為網路資源提供集中式驗證、授權和設定管理。在將 Samba 部署為 DC 之前，了解其核心概念至關重要。

網域是共享通用目錄資料庫和安全原則的網路物件（使用者、電腦、群組）的邏輯分組。樹系是包含一個或多個共享通用架構和全域目錄的網域的頂層容器。網域控制器（DC）是託管 AD 資料庫並處理驗證請求的伺服器。

AD 嚴重依賴三個支援服務：DNS 用於透過 SRV 記錄定位網域控制器和服務，Kerberos 用於基於票證的安全驗證，LDAP 用於目錄查詢。Samba 4 實作了這三者，使 Linux 伺服器能夠作為完全相容的 AD 網域控制器運作，Windows 用戶端可以原生加入。

# 關鍵 AD 術語：
# 網域：     example.com — 驗證邊界
# 樹系：     頂層網域樹（可包含子網域）
# DC：       網域控制器 — 託管 AD 資料庫（NTDS.DIT）
# FSMO：     彈性單一主機操作角色
# GPO：      群組原則物件，用於集中式設定
# Kerberos： 基於票證的驗證（連接埠 88）
# LDAP：     目錄查詢（連接埠 389 / 636 用於 TLS）
# DNS：      透過 SRV 記錄進行服務探索（連接埠 53）
# GC：       全域目錄 — 跨網域搜尋（連接埠 3268）

佈建 Samba AD 網域控制器

佈建過程將 Samba 安裝轉換為完整的 Active Directory 網域控制器。此過程建立 AD 資料庫、設定 DNS、設定 Kerberos，並建立初始網域管理員帳戶。

# 安裝所需套件
$ sudo apt update
$ sudo apt install samba krb5-config winbind smbclient

# 停止並停用現有的 Samba 服務
$ sudo systemctl stop smbd nmbd winbind
$ sudo systemctl disable smbd nmbd winbind

# 移除預設的 smb.conf — 佈建會建立新的
$ sudo mv /etc/samba/smb.conf /etc/samba/smb.conf.original

# 佈建網域（互動模式）
$ sudo samba-tool domain provision --use-rfc2307 --interactive
# 領域：          EXAMPLE.COM
# 網域：          EXAMPLE
# 伺服器角色：    dc
# DNS 後端：      SAMBA_INTERNAL
# DNS 轉發器：    8.8.8.8
# 管理員密碼：（設定強密碼）

# 佈建會建立：
# /etc/samba/smb.conf       — 新的 AD 啟用設定
# /var/lib/samba/private/    — AD 資料庫（sam.ldb）
# /var/lib/samba/private/krb5.conf — Kerberos 設定

--use-rfc2307 旗標在 AD 中啟用 Unix 屬性（UID/GID 編號），這對 Linux 用戶端至關重要。SAMBA_INTERNAL DNS 後端對於初始部署最為簡單 — Samba 在內部處理所有 DNS。對於較大的環境，您可以使用帶有 Samba DLZ 模組的 BIND9。

# 複製 Kerberos 設定
$ sudo cp /var/lib/samba/private/krb5.conf /etc/krb5.conf

# 啟動 Samba AD DC 服務
$ sudo systemctl unmask samba-ad-dc
$ sudo systemctl enable samba-ad-dc
$ sudo systemctl start samba-ad-dc

# 驗證 DC 正在執行
$ sudo samba-tool domain level show
$ sudo samba-tool domain info 127.0.0.1

# 測試 DNS 解析
$ host -t SRV _ldap._tcp.example.com localhost
$ host -t SRV _kerberos._tcp.example.com localhost
$ host -t A dc1.example.com localhost

DNS 整合和 Kerberos 設定

正常運作的 AD DC 依賴於正確的 DNS 和 Kerberos 設定。DNS SRV 記錄允許用戶端自動發現網域控制器，而 Kerberos 提供安全的驗證機制。

# 驗證 DNS SRV 記錄存在
$ samba-tool dns query 127.0.0.1 example.com @ ALL -U administrator

# 新增反向 DNS 區域
$ samba-tool dns zonecreate 127.0.0.1 1.168.192.in-addr.arpa -U administrator

# 為 DC 新增 PTR 記錄
$ samba-tool dns add 127.0.0.1 1.168.192.in-addr.arpa 
    10 PTR dc1.example.com -U administrator

# 測試 Kerberos 驗證
$ kinit administrator@EXAMPLE.COM

# 驗證 Kerberos 票證
$ klist

# 設定伺服器的 /etc/resolv.conf 使用自身作為 DNS
$ sudo nano /etc/resolv.conf
nameserver 127.0.0.1
search example.com

# 正確設定主機名稱
$ sudo hostnamectl set-hostname dc1
$ sudo nano /etc/hosts
192.168.1.10    dc1.example.com    dc1

Kerberos 領域名稱必須為大寫（EXAMPLE.COM）— 這是嚴格的慣例。DC 必須使用自身作為主要 DNS 伺服器，以便網域 SRV 記錄正確解析。確保主機名稱設定為完全限定網域名稱（FQDN），並且 /etc/hosts 正確映射它。

管理使用者、群組和加入用戶端

DC 執行後，您可以使用 samba-tool 管理 AD 物件，並將 Windows 和 Linux 用戶端加入網域。

# 建立 AD 使用者
$ sudo samba-tool user create jsmith --given-name=John --surname=Smith 
    --mail-address=jsmith@example.com

# 列出網域使用者
$ sudo samba-tool user list

# 建立組織單位（OU）
$ sudo samba-tool ou create "OU=Engineering,DC=example,DC=com"

# 建立群組
$ sudo samba-tool group create developers
$ sudo samba-tool group addmembers developers jsmith

# 列出群組成員
$ sudo samba-tool group listmembers developers

# 重設使用者密碼
$ sudo samba-tool user setpassword jsmith

# 停用/啟用使用者帳戶
$ sudo samba-tool user disable jsmith
$ sudo samba-tool user enable jsmith

要加入 Windows 用戶端，請前往系統內容，將網域從工作群組變更為 EXAMPLE.COM，並提供網域管理員憑證。用戶端將重新啟動並顯示網域登入畫面。

# 將 Linux 用戶端加入網域
# 在用戶端機器上：
$ sudo apt install realmd sssd sssd-tools adcli packagekit

# 探索網域
$ sudo realm discover example.com

# 加入網域
$ sudo realm join example.com -U administrator

# 驗證加入
$ sudo realm list

# 測試網域使用者查詢
$ id jsmith@example.com
$ getent passwd jsmith@example.com

# 設定 SSSD 自動建立家目錄
$ sudo nano /etc/sssd/sssd.conf
# 在 [domain/example.com] 下新增：
# fallback_homedir = /home/%u@%d

# 啟用自動家目錄建立
$ sudo pam-auth-update --enable mkhomedir

# 以網域使用者登入
$ su - jsmith@example.com

重點摘要

Active Directory 將網路資源組織到樹系內的網域中；網域控制器託管目錄資料庫並透過 Kerberos、DNS 和 LDAP 處理驗證。
Samba 4 使用 samba-tool domain provision 搭配 --use-rfc2307 佈建完全相容的 AD DC，以支援 Unix 屬性；內部 DNS 後端適用於大多數部署。
正確的 DNS 設定至關重要 — DC 必須使用自身作為主要 DNS 伺服器，且 SRV 記錄必須解析 _ldap._tcp 和 _kerberos._tcp 以啟用用戶端自動探索。
Kerberos 驗證需要大寫的領域名稱、正確設定的 /etc/krb5.conf，以及 /etc/hosts 中正確的主機名稱/FQDN 解析。
Linux 用戶端使用 realmd 和 SSSD 加入網域，提供 PAM 和 NSS 整合，實現無縫的網域使用者驗證和家目錄建立。

下一步

在下一課中，您將學習如何部署和設定 vsftpd 以實現安全的 FTP 檔案傳輸，包括 chroot 限制、TLS 加密和虛擬使用者支援。

日本語

概要

学習内容：Ubuntu で Samba を完全な Active Directory ドメインコントローラーとしてプロビジョニングし、集中認証、DNS 統合、Kerberos ベースのセキュリティを提供する方法。ドメインの設定、ユーザーとグループの管理、Windows および Linux クライアントのドメイン参加を学びます。
前提条件：Samba ファイルサーバーの基礎（レッスン36）、DNS とネットワーキング概念の十分な理解
推定読了時間：20分

Active Directory の概念

Active Directory（AD）は、Microsoft が最初に開発したディレクトリサービスで、ネットワークリソースの集中認証、認可、設定管理を提供します。Samba を DC として展開する前に、そのコア概念を理解することが不可欠です。

ドメインは、共通のディレクトリデータベースとセキュリティポリシーを共有するネットワークオブジェクト（ユーザー、コンピュータ、グループ）の論理的なグループです。フォレストは、共通のスキーマとグローバルカタログを共有する 1 つ以上のドメインを含むトップレベルのコンテナです。ドメインコントローラー（DC）は、AD データベースをホストし認証要求を処理するサーバーです。

AD は 3 つのサポートサービスに大きく依存しています：DNS は SRV レコードを通じてドメインコントローラーとサービスを検出し、Kerberos はチケットベースの安全な認証を提供し、LDAP はディレクトリ検索に使用されます。Samba 4 はこれら 3 つすべてを実装し、Linux サーバーが Windows クライアントがネイティブに参加できる完全互換の AD ドメインコントローラーとして機能できるようにします。

# 主要な AD 用語：
# ドメイン：    example.com — 認証境界
# フォレスト：  トップレベルのドメインツリー（子ドメインを含むことができる）
# DC：         ドメインコントローラー — AD データベース（NTDS.DIT）をホスト
# FSMO：       柔軟な単一マスター操作ロール
# GPO：        集中設定のためのグループポリシーオブジェクト
# Kerberos：   チケットベース認証（ポート 88）
# LDAP：       ディレクトリクエリ（ポート 389 / TLS 用 636）
# DNS：        SRV レコードによるサービス検出（ポート 53）
# GC：         グローバルカタログ — クロスドメイン検索（ポート 3268）

Samba AD ドメインコントローラーのプロビジョニング

プロビジョニングにより、Samba インストールが完全な Active Directory ドメインコントローラーに変換されます。このプロセスでは AD データベースの作成、DNS の設定、Kerberos の構成、初期ドメイン管理者アカウントの確立が行われます。

# 必要なパッケージのインストール
$ sudo apt update
$ sudo apt install samba krb5-config winbind smbclient

# 既存の Samba サービスを停止して無効化
$ sudo systemctl stop smbd nmbd winbind
$ sudo systemctl disable smbd nmbd winbind

# デフォルトの smb.conf を削除 — プロビジョニングが新しいものを作成
$ sudo mv /etc/samba/smb.conf /etc/samba/smb.conf.original

# ドメインのプロビジョニング（対話モード）
$ sudo samba-tool domain provision --use-rfc2307 --interactive
# レルム：          EXAMPLE.COM
# ドメイン：        EXAMPLE
# サーバーロール：  dc
# DNS バックエンド：SAMBA_INTERNAL
# DNS フォワーダー：8.8.8.8
# 管理者パスワード：（強力なパスワードを設定）

# プロビジョニングで作成されるもの：
# /etc/samba/smb.conf       — 新しい AD 対応設定
# /var/lib/samba/private/    — AD データベース（sam.ldb）
# /var/lib/samba/private/krb5.conf — Kerberos 設定

--use-rfc2307 フラグは AD で Unix 属性（UID/GID 番号）を有効にし、Linux クライアントにとって不可欠です。SAMBA_INTERNAL DNS バックエンドは初期展開に最もシンプルです — Samba が内部ですべての DNS を処理します。大規模環境では、Samba DLZ モジュール付きの BIND9 を使用できます。

# Kerberos 設定のコピー
$ sudo cp /var/lib/samba/private/krb5.conf /etc/krb5.conf

# Samba AD DC サービスの起動
$ sudo systemctl unmask samba-ad-dc
$ sudo systemctl enable samba-ad-dc
$ sudo systemctl start samba-ad-dc

# DC の稼働確認
$ sudo samba-tool domain level show
$ sudo samba-tool domain info 127.0.0.1

# DNS 解決のテスト
$ host -t SRV _ldap._tcp.example.com localhost
$ host -t SRV _kerberos._tcp.example.com localhost
$ host -t A dc1.example.com localhost

DNS 統合と Kerberos 設定

正常に機能する AD DC は正確な DNS と Kerberos の設定に依存します。DNS SRV レコードによりクライアントがドメインコントローラーを自動的に検出でき、Kerberos が安全な認証メカニズムを提供します。

# DNS SRV レコードの存在を確認
$ samba-tool dns query 127.0.0.1 example.com @ ALL -U administrator

# 逆引き DNS ゾーンの追加
$ samba-tool dns zonecreate 127.0.0.1 1.168.192.in-addr.arpa -U administrator

# DC の PTR レコードを追加
$ samba-tool dns add 127.0.0.1 1.168.192.in-addr.arpa 
    10 PTR dc1.example.com -U administrator

# Kerberos 認証のテスト
$ kinit administrator@EXAMPLE.COM

# Kerberos チケットの確認
$ klist

# サーバーの /etc/resolv.conf を自身を DNS として使用するよう設定
$ sudo nano /etc/resolv.conf
nameserver 127.0.0.1
search example.com

# ホスト名を正しく設定
$ sudo hostnamectl set-hostname dc1
$ sudo nano /etc/hosts
192.168.1.10    dc1.example.com    dc1

Kerberos レルム名は大文字でなければなりません（EXAMPLE.COM）— これは厳格な慣例です。DC は自身をプライマリ DNS サーバーとして使用し、ドメイン SRV レコードが正しく解決される必要があります。ホスト名が完全修飾ドメイン名（FQDN）として設定され、/etc/hosts が正しくマッピングされていることを確認してください。

ユーザー、グループの管理とクライアントの参加

DC が稼働したら、samba-tool を使用して AD オブジェクトを管理し、Windows と Linux の両方のクライアントをドメインに参加させることができます。

# AD ユーザーの作成
$ sudo samba-tool user create jsmith --given-name=John --surname=Smith 
    --mail-address=jsmith@example.com

# ドメインユーザーの一覧表示
$ sudo samba-tool user list

# 組織単位（OU）の作成
$ sudo samba-tool ou create "OU=Engineering,DC=example,DC=com"

# グループの作成
$ sudo samba-tool group create developers
$ sudo samba-tool group addmembers developers jsmith

# グループメンバーの一覧表示
$ sudo samba-tool group listmembers developers

# ユーザーパスワードのリセット
$ sudo samba-tool user setpassword jsmith

# ユーザーアカウントの無効化/有効化
$ sudo samba-tool user disable jsmith
$ sudo samba-tool user enable jsmith

Windows クライアントを参加させるには、システムのプロパティに移動し、ワークグループからドメインを EXAMPLE.COM に変更し、ドメイン管理者の資格情報を入力します。クライアントは再起動し、ドメインログイン画面が表示されます。

# Linux クライアントをドメインに参加させる
# クライアントマシンで：
$ sudo apt install realmd sssd sssd-tools adcli packagekit

# ドメインの検出
$ sudo realm discover example.com

# ドメインへの参加
$ sudo realm join example.com -U administrator

# 参加の確認
$ sudo realm list

# ドメインユーザー検索のテスト
$ id jsmith@example.com
$ getent passwd jsmith@example.com

# SSSD のホームディレクトリ作成設定
$ sudo nano /etc/sssd/sssd.conf
# [domain/example.com] の下に追加：
# fallback_homedir = /home/%u@%d

# 自動ホームディレクトリ作成の有効化
$ sudo pam-auth-update --enable mkhomedir

# ドメインユーザーとしてログイン
$ su - jsmith@example.com

重要ポイント

Active Directory はネットワークリソースをフォレスト内のドメインに整理します。ドメインコントローラーはディレクトリデータベースをホストし、Kerberos、DNS、LDAP を通じて認証を処理します。
Samba 4 は samba-tool domain provision と --use-rfc2307 を使用して Unix 属性サポート付きの完全互換 AD DC をプロビジョニングします。内部 DNS バックエンドはほとんどの展開に適しています。
正確な DNS 設定が不可欠です — DC は自身をプライマリ DNS サーバーとして使用し、SRV レコードが _ldap._tcp と _kerberos._tcp で解決されてクライアントの自動検出を有効にする必要があります。
Kerberos 認証には大文字のレルム名、適切に設定された /etc/krb5.conf、および /etc/hosts での正しいホスト名/FQDN 解決が必要です。
Linux クライアントは realmd と SSSD を使用してドメインに参加し、PAM と NSS の統合によりシームレスなドメインユーザー認証とホームディレクトリ作成を実現します。

次のステップ

次のレッスンでは、chroot ジェイル、TLS 暗号化、仮想ユーザーサポートを含む、安全な FTP ファイル転送のための vsftpd の展開と設定方法を学びます。