【发布时间】：2017-04-01 00:20:30
【问题描述】：
我已经在 AWS 上成功构建了一个 Active Director。我可以从位于同一 VPC 中的 Centos7 EC2 实例 ping 目录。 现在，我尝试加入领域，但收到以下错误：
[ec2-user@ip-172-22-2-182 ~]$ sudo realm join -U admin@corp.xxx.com corp.xxx.com --verbose
* Resolving: _ldap._tcp.corp.xxx.com
* Resolving: corp.xxx.com
* Performing LDAP DSE lookup on: 172.22.2.34
* Successfully discovered: corp.xxx.com
Password for admin@corp.xxx.com:
* Required files: /usr/sbin/oddjobd, /usr/libexec/oddjob/mkhomedir, /usr/sbin/sssd, /usr/sbin/adcli
* LANG=C /usr/sbin/adcli join --verbose --domain xxx.com --domain-realm CORP.xxx.COM --domain-controller 172.22.2.34 --login-type user --login-user admin@xxx.com --stdin-password
* Using domain name: corp.xxx.com
* Calculated computer account name from fqdn: IP-172-22-2-182
* Using domain realm: xxx.com
* Sending netlogon pings to domain controller: cldap://172.22.2.34
* Received NetLogon info from: WIN-QUUMO7C7PU3.xxx.com
* Wrote out krb5.conf snippet to /var/cache/realmd/adcli-krb5-g1oscN/krb5.d/adcli-krb5-conf-RlQBkY
! Couldn't get kerberos ticket for: admin@xxx.com: Cannot find KDC for realm "xxx.com"
adcli: couldn't connect to xxx.com domain: Couldn't get kerberos ticket for: admin@xxx.com: Cannot find KDC for realm "xxx.com"
! Failed to join the domain
realm: Couldn't join realm: Failed to join the domain
[ec2-user@ip-172-22-2-182 ~]$
有人知道怎么解决吗？ Amazon 文档没有说明安装 Samba 及其与 AWS Windows Active Directory 的集成。它只有这个链接来注册主机 enter link description here
谢谢
【问题讨论】：
-
您不需要 Samba 来加入域 - Kerberos 可以处理。这里的相关错误是“找不到领域“xxx.com”的 KDC。您的 Centos7 实例找不到 Kerberos 领域（AD 域）。您引用的文章谈到了配置 sssd.conf - 您尚未发布。需要看到这一点才能提供更好的建议。
-
不了解 AWS 自定义规则，但从 vanilla Kerberos 的角度来看，您在将网络 domains 映射到 Kerberos realms -- 您的 Kerberos 票证已授予领域
corp.xxx.com中的“管理员”，但您的计算机是域xxx.com的一部分，并且您的 Kerberos 客户端配置（通常在/etc/krb5.conf中）没有提及如何将此域映射到该领域（或任何其他领域）。
标签： amazon-web-services amazon-ec2 active-directory kerberos kdc