ตรวจจาก Client ว่าเจอ DC

# บน client (ตั้ง DNS = 192.168.64.85 ก่อน)
nslookup -type=SRV _ldap._tcp.ad.ittraining.local 192.168.64.85

Windows

Linux (Ubuntu client)

$ sudo apt install -y realmd sssd sssd-tools adcli
$ sudo realm join AD.ITTRAINING.LOCAL -U administrator
$ id somchai@ad.ittraining.local

เตรียมเครื่อง Windows ก่อน (Prerequisites)

Step 1 — ตั้ง DNS ให้ชี้ DC (สำคัญที่สุด)

Windows หา Domain Controller ผ่าน DNS SRV record ถ้า DNS ไม่ได้ชี้มาที่ DC เครื่องจะ หา domain ไม่เจอ เลย join ไม่ได้ — ต้องตั้ง DNS เป็น IP ของ DC ก่อนเสมอ

วิธี A — ผ่าน GUI

วิธี B — ผ่าน PowerShell (เปิดแบบ Administrator)

# ดูชื่อการ์ดก่อน
PS> Get-NetAdapter
# ตั้ง DNS ให้ชี้ DC (เปลี่ยน "Ethernet" ตามชื่อการ์ด)
PS> Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 192.168.64.85

Step 2 — ทดสอบว่า Client เห็น DC

ก่อน join ต้องมั่นใจว่า Windows หา DC ผ่าน DNS เจอจริง

PS> nslookup -type=SRV _ldap._tcp.ad.ittraining.local
PS> ping dc01.ad.ittraining.local

Step 3 — ตรวจเวลาให้ตรง (Kerberos)

Kerberos ยอมให้เวลาต่างกันได้ไม่เกิน 5 นาที ถ้าเวลาเพี้ยนจะ join ไม่ได้ (error เกี่ยวกับ clock skew)

# ตั้ง time zone ให้ตรง แล้ว sync เวลา
PS> w32tm /resync

Step 4 — Join Domain

วิธี A — ผ่าน GUI

วิธี B — ผ่าน PowerShell (Administrator)

PS> Add-Computer -DomainName ad.ittraining.local -Credential AD\Administrator -Restart

Step 5 — Login ด้วย Domain User

ที่หน้า login เลือก Other user แล้วพิมพ์ชื่อผู้ใช้บน AD ได้ 2 รูปแบบ:

ใส่รหัสของ user นั้น (เช่น somchai = P##ssw00rd) → เข้าใช้งานได้

Step 6 — ยืนยันว่า Join สำเร็จ

C:\> whoami                              # ต้องขึ้น ad\
C:\> systeminfo | findstr /C:"Domain"    # ต้องเห็น ad.ittraining.local

ตรวจจากฝั่ง DC ได้ด้วยว่ามีชื่อเครื่องเข้ามา:

$ sudo samba-tool computer list      # (รันบน DC) ต้องเห็นชื่อเครื่อง Windows

แก้ปัญหา Join Windows ที่พบบ่อย

ภาพรวม — realmd + SSSD ทำอะไร

realmd เป็นตัวช่วย ค้นหา (discover) และ join domain แบบอัตโนมัติ ส่วน SSSD (System Security Services Daemon) ทำหน้าที่ตรวจสอบตัวตนและดึงข้อมูล user/group จาก AD มาให้ระบบ Linux ใช้ — เป็นวิธีที่ Ubuntu/RHEL แนะนำ (อีกวิธีคือ winbind ดูบทถัดไป)

เตรียมเครื่องก่อน (Prerequisites)

Step 1 — ตั้ง DNS ให้ชี้ DC

ตั้งใน Netplan ให้ nameserver เป็น IP ของ DC แล้วตรวจว่าเห็น SRV record

$ sudo tee /etc/netplan/99-dns.yaml >/dev/null <<'EOF'
network:
  version: 2
  ethernets:
    enp0s1:
      nameservers:
        addresses: [192.168.64.85]
        search: [ad.ittraining.local]
EOF
$ sudo chmod 600 /etc/netplan/99-dns.yaml && sudo netplan apply
$ host -t SRV _ldap._tcp.ad.ittraining.local     # ต้องเจอ dc01

Step 2 — ติดตั้งแพ็กเกจ

$ sudo apt update
$ sudo apt install -y realmd sssd sssd-tools libnss-sss libpam-sss \
    adcli samba-common-bin oddjob oddjob-mkhomedir packagekit

Step 3 — ค้นหา Domain (discover)

$ realm discover ad.ittraining.local

Step 4 — Join Domain

$ sudo realm join -U administrator ad.ittraining.local

Step 5 — ยืนยัน & ทดสอบ User

$ realm list                                # ดูสถานะ domain ที่ join
$ id somchai@ad.ittraining.local            # เห็น uid/gid/groups จาก AD
$ getent passwd somchai@ad.ittraining.local

Step 6 — เปิดสร้าง Home Directory อัตโนมัติ

ให้สร้าง /home/<user> เองตอน login ครั้งแรก

$ sudo pam-auth-update --enable mkhomedir

Step 7 — จำกัดผู้ที่ login ได้ (permit / deny)

โดยดีฟอลต์หลัง join มักอนุญาตเฉพาะที่กำหนด — ควบคุมด้วย realm

$ sudo realm permit somchai@ad.ittraining.local        # อนุญาตเฉพาะคน
$ sudo realm permit -g 'domain admins@ad.ittraining.local'  # อนุญาตทั้งกลุ่ม
$ sudo realm permit --all                              # อนุญาตทุกคนในโดเมน
$ sudo realm deny --all                                # ปิดทุกคน (แล้ว permit ทีละคน)

Step 8 — ให้ AD User/Group ใช้ sudo

$ echo '%domain\ admins@ad.ittraining.local ALL=(ALL:ALL) ALL' \
    | sudo tee /etc/sudoers.d/ad-admins
$ sudo chmod 440 /etc/sudoers.d/ad-admins

ตั้งค่า SSSD เพิ่มเติม (/etc/sssd/sssd.conf)

ปรับให้ใช้งานสะดวกขึ้น เช่น login ด้วยชื่อสั้น และกำหนด home/shell

[domain/ad.ittraining.local]
use_fully_qualified_names = False     # login ด้วย somchai (ไม่ต้องมี @domain)
fallback_homedir = /home/%u           # ที่อยู่ home
default_shell = /bin/bash             # shell เริ่มต้น

$ sudo systemctl restart sssd         # รีสตาร์ตหลังแก้ config

ออกจาก Domain (leave)

$ sudo realm leave ad.ittraining.local

แก้ปัญหาที่พบบ่อย (Linux realm join)

เตรียมก่อน (Prerequisites)

ตามเอกสาร Samba ต้องเตรียม DNS, Kerberos, /etc/hosts และเวลาให้พร้อมก่อน join

# /etc/krb5.conf
[libdefaults]
    default_realm = AD.ITTRAINING.LOCAL
    dns_lookup_realm = false
    dns_lookup_kdc = true

# ตรวจว่า DNS หา DC เจอ
$ host -t SRV _ldap._tcp.ad.ittraining.local
$ getent hosts client01        # /etc/hosts ต้องมี FQDN ของเครื่องเอง

ติดตั้ง Samba + winbind

$ sudo apt install -y samba winbind libnss-winbind libpam-winbind smbclient krb5-user

ตั้งค่า /etc/samba/smb.conf

[global]
   realm = AD.ITTRAINING.LOCAL
   workgroup = AD
   security = ads

   winbind use default domain = yes
   winbind refresh tickets = yes
   template shell = /bin/bash
   template homedir = /home/%U

   idmap config * : backend = tdb
   idmap config * : range = 3000-7999
   idmap config AD : backend = rid
   idmap config AD : range = 10000-999999

Join Domain

$ sudo net ads join -U administrator
# หรือ Samba 4.15+ :
$ sudo samba-tool domain join ad.ittraining.local MEMBER -U administrator

ตั้ง /etc/nsswitch.conf

passwd:  files winbind
group:   files winbind

เริ่ม Service

$ sudo systemctl restart smbd nmbd winbindd

ยืนยัน (winbind)

$ sudo wbinfo --ping-dc      # ทดสอบเชื่อมต่อ DC
$ wbinfo -u                  # รายชื่อ user จาก AD
$ wbinfo -g                  # รายชื่อ group จาก AD
$ getent passwd somchai      # NSS เห็น user ไหม
$ id somchai

ให้ AD User login + สร้าง Home

$ sudo pam-auth-update --enable mkhomedir   # สร้าง home อัตโนมัติตอน login

realmd/SSSD กับ winbind — เลือกอันไหน

ทำทันทีหลังติดตั้ง

$ sudo samba-tool user setpassword Administrator

$ passwd

ตารางแก้ปัญหาที่พบบ่อย

เคส 1 — kinit: Client not found

วิธีแก้

$ kinit somchai                       # ใช้ username ที่ถูกต้อง (arg แรกตอน create)
$ kinit panya@AD.ITTRAINING.LOCAL     # ถ้าสร้าง user panya แล้ว — realm ตัวใหญ่
$ kinit panya                         # ไม่ใส่ realm = ใช้ default (ตัวใหญ่) อัตโนมัติ

เคส 2 — Entry CN=... already exists

วิธีแก้ — ให้ CN = username

$ sudo samba-tool user create panya 'P##ssw00rd' --userou="OU=IT" \
    --given-name=Panya --surname=Johnjaran --use-username-as-cn

เคส 3 — Password does not meet complexity

วิธีแก้

# 1) ใช้รหัสที่ซับซ้อน เช่น
$ sudo samba-tool user create test 'P##ssw00rd' --use-username-as-cn

# 2) (เฉพาะ lab เท่านั้น) ปิดเงื่อนไขความซับซ้อน
$ sudo samba-tool domain passwordsettings set --complexity=off
$ sudo samba-tool domain passwordsettings show

สรุป: Error ↔ วิธีแก้

Prerequisites

เครื่องที่จะเป็น file server ต้องเป็น domain member (winbind) อยู่ก่อน (ดูเรื่อง 2 บท 5) และ wbinfo -u ต้องเห็น user จาก AD

Step 1 — เปิด Windows ACLs ใน smb.conf [global]

[global]
   # ... (ค่า domain member เดิม เช่น security = ads, idmap ...) ...
   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes      # จำเป็นเฉพาะ Samba เวอร์ชันก่อน 4.9

Step 2 — สร้าง Share

[Data]
   path = /srv/samba/Data/
   read only = no

Step 3 — สร้างโฟลเดอร์ + ตั้งเจ้าของเริ่มต้น

$ sudo mkdir -p /srv/samba/Data/
$ sudo chown root:"Domain Admins" /srv/samba/Data/
$ sudo chmod 0770 /srv/samba/Data/

Step 4 — Reload Samba

$ sudo smbcontrol all reload-config

Step 5 — ตั้งสิทธิ์ (ACL) จาก Windows

Step 6 — ทดสอบ

# จาก Windows: เปิด Explorer พิมพ์  \\member01\Data
# จาก Linux:
$ smbclient -L member01 -U 'AD\somchai'
$ smbclient //member01/Data -U 'AD\somchai'

ทางเลือกง่าย — คุมสิทธิ์ด้วย valid users (POSIX)

ถ้าไม่อยากตั้ง ACL จาก Windows คุมสิทธิ์ใน smb.conf ตรง ๆ ด้วยกลุ่ม AD ก็ได้ (ง่ายกว่าแต่ยืดหยุ่นน้อยกว่า)

[Data]
   path = /srv/samba/Data
   read only = no
   valid users = @"AD\Domain Users"     # ใครเข้าได้บ้าง
   write list = @"AD\IT"                # กลุ่มที่เขียนได้

อ่าน Diagram นี้ยังไง

• dc01 (สีส้ม) = ศูนย์กลาง รวม LDAP + Kerberos + DNS + SMB และเก็บ GPO ไว้ใน SYSVOL
• Windows Client (สีน้ำเงิน) = join domain แล้วรับ GPO (เช่นแมปไดรฟ์) และยืนยันตัวตนผ่าน Kerberos
• File Server (สีเขียวน้ำเงิน) = เครื่อง Samba domain member ที่แชร์ไฟล์ให้ AD user เข้าถึง
• Linux Client (สีเขียว) = join ด้วย realmd/SSSD หรือ winbind แล้ว login ด้วย user จาก AD

3 เส้นทางหลักในระบบ

ทำตามทั้งระบบ (End-to-End Checklist)

ลำดับการสร้างทั้งระบบ พร้อมคำสั่งหลักของแต่ละขั้น

$ sudo samba-tool domain provision --realm=AD.ITTRAINING.LOCAL \
    --domain=AD --server-role=dc --dns-backend=SAMBA_INTERNAL

$ sudo samba-tool ou create "OU=IT,DC=ad,DC=ittraining,DC=local"
$ sudo samba-tool user create somchai 'P##ssw00rd' --use-username-as-cn

PS> Add-Computer -DomainName ad.ittraining.local -Credential AD\Administrator -Restart

$ sudo realm join -U administrator ad.ittraining.local

$ sudo net ads join -U administrator          # join เป็น member
$ sudo smbcontrol all reload-config           # โหลด share ใหม่

$ sudo samba-tool gpo create "Map Drives" -U Administrator
# แล้วแก้ไข Drive Maps ผ่าน GPMC บน Windows

PS> gpupdate /force        # ดึง GPO
PS> net use               # เห็นไดรฟ์ที่ถูกแมป
# เปิด \\member01\Data ทดสอบเข้าถึง share

คำสั่งสำคัญของแต่ละส่วน (อธิบาย)