Доверительные отношения с MS

[Костюков Владимир]

Управление доменом > Доверительные отношения > Миграция объектов AD
Жмем новое подключение к AD
Вводим имя домена к которому хотим подключиться [domain.name.ru]
Ставим [✔] Доверительные отношения
Вводим имя пользователя и пароль 2 раза от учетной записи обладающей правами Администратора домена.
Далее по желанию:
Ставим [✔] Миграция объектов AD
Вводим имя пользователя и пароль 2 раза от учетной записи обладающей правами Администратора домена.
Базовое уникальное имя (base DN)
dc=domain,dc=name,dc=ru
Валидация записей DNS в файле /etc/bind/ipa-options-ext.conf параметр dnssec-validation установлен в no.
Выполнить в терминале

ipa dnsforwardzone-add domain.name --forwarder=ip domain
ipa-adtrust-install -U

Для MS 2019 доверительные отношения делаются с дополнениями.
Требуется зайти в интерфейс freipa используя ссылку https://dc.nii.test/ipa/ui/ (FQDN использется Ваш).
Заходим в раздел IPA Server - отношения доверия и выбираем домен MS AD.
Далее Заходим в доверенные домены, ставим галку напротив домена и нажимаем получить данные.
Если все прошло удачно появится окно с текстом:

Список надёжных доменов успешно обновлён. Используйте команду trustdomain-find для вывода этого списка

Далее заходим в группы - astraad_test_users_external и заходим во вкладку внешний. Нажимаем добавить и пишем domain users@astra.test (вместо astra.test используется домен MS AD) и нажимаем сохранить.

 

[tielay]

Небольшое дополнение из вики астры:
"Если для администратора домена AD создается дополнительная учетная запись, то эта запись не просто должна быть добавлена в группу Domain Admins, а эта группа должна быть выбрана основной, иначе может возникать ошибка доступа CIFS 3221225506."
"... не поддерживает кириллицу в учетной записи администратора AD" Т.е. Login администратора домена MS AD должен быть только на латинице в нижнем регистре
Вот об эти тонкости я бился длительное время, пока в тупую не лез проверять всё доступное по этой теме...