在以Windows Server为核心的混合IT环境中，Linux服务器往往也需要纳入统一的身份认证体系。Debian作为稳定性和安全性都很出色的发行版，被大量用作企业内网的应用服务器。如果能让Debian直接使用Active Directory域账号登录，运维人员就不必为每台Linux机器单独维护本地账号，密码策略、账号禁用等也都能由域控制器统一管控，管理成本会显著降低。
加域前的准备工作
Debian加入AD域之前，有几项基础条件必须满足，否则加域过程会反复报错。首先是网络连通性，Debian必须能够访问域控制器（Domain Controller）的389、88、464、53等端口。其次是DNS配置，Debian的DNS服务器必须指向AD的DNS，因为AD域的很多服务记录都发布在域DNS上，如果解析失败，Kerberos认证根本无法完成。
时间同步是另一个容易被忽视的关键点。Kerberos协议默认允许的时间偏差只有5分钟，如果Debian系统时间与域控制器相差过大，认证会直接失败。建议提前安装chrony或systemd-timesyncd，并将时间源指向域控制器或内网NTP服务器。
编辑/etc/resolv.conf或通过NetworkManager将DNS指向域控制器，例如：
nameserver 192.168.10.10 search corp.ippipp.com
然后用ping corp.ippipp.com和nslookup -type=SRV _ldap._tcp.corp.ippipp.com验证DNS解析是否正常。SRV记录能查到，说明域控制器的服务定位没问题，可以继续往下走。
安装软件包并使用realm加入域
Debian下推荐使用realmd工具来完成加域，它会自动调用SSSD处理认证后端，比手动配置Kerberos和Samba省事得多。执行以下命令安装所需软件包：
apt update apt install realmd sssd sssd-tools adcli krb5-user samba-common-bin oddjob oddjob-mkhomedir packagekit
安装过程中会提示输入Kerberos realm，填写大写的域名，例如CORP.EXAMPLE.COM。装好后先用realm discover探测域信息，确认能发现域并显示域控制器地址：
realm discover corp.ippipp.com
如果discover没有输出，多半是DNS或防火墙问题。确认无误后，使用具备加域权限的域管理员账号执行加入操作：
realm join -U administrator corp.ippipp.com
输入密码后，realm会自动完成写Kerberos配置、修改SSSD配置、将计算机账号写入AD的OU等操作。加入成功后可以用realm list查看状态，显示realm-name和domain-status: configured即为成功。如果需要指定OU，可以加--computer-ou=OU=LinuxServers,DC=corp,DC=example,DC=com参数，便于在AD中分组管理Linux机器的计算机账号。
配置SSSD与验证域用户登录
加域只是第一步，SSSD的配置细节决定了日常使用体验。编辑/etc/sssd/sssd.conf，确认几个重要参数：
[sssd] domains = corp.ippipp.com services = nss, pam, ssh [domain/corp.ippipp.com] ad_domain = corp.ippipp.com ad_server = dc01.corp.ippipp.com use_fqdn = true fallback_homedir = /home/%u default_shell = /bin/bash override_homedir = /home/%d/%u cache_credentials = true krb5_store_password_if_offline = true
其中cache_credentials = true允许域用户凭据缓存到本地，即使域控制器暂时不可达，用户也能登录Debian。配置完成后重启SSSD并设置正确的文件权限：
chmod 600 /etc/sssd/sssd.conf systemctl restart sssd
验证环节可以用id administrator@corp.ippipp.com查看是否能解析到域用户的UID和GID，再切换测试。默认情况下加域后所有域用户都可以登录，这在内网环境通常不合适，建议用realm permit限制可登录范围：
# 只允许特定用户登录 realm permit user1@corp.ippipp.com user2@corp.ippipp.com # 或只允许某个域组登录 realm permit -g linux-admins@corp.ippipp.com
SSH登录时域账号格式为user@corp.ippipp.com或CORP\\user，如果嫌格式冗长，可以在sssd.conf中设置use_fully_qualified_names = false，之后直接输入用户名即可。
常见问题排查与sudo权限配置
加域过程中最常见的问题有三类。一是KDC时间偏差导致的认证失败，报错中通常包含Clock skew too great，解决办法是校准系统时间并重启chrony。二是DNS解析异常导致realm discover无输出，检查/etc/resolv.conf和SRV记录即可。三是加域成功但登录时家目录未创建，需要确认oddjob-mkhomedir已安装并在pam中启用：
pam-auth-update --enable mkhomedir
sudo权限方面，Debian默认没有sudoers.d目录下针对域组的规则，可以手动创建。假设域中有一个Linux-Admins组，希望其成员在Debian上拥有全部管理权限，编辑/etc/sudoers.d/ad-admins：
%linux-admins@corp.ippipp.com ALL=(ALL:ALL) ALL
注意文件权限必须为0440，否则sudo会拒绝加载。如果希望域用户免密sudo，把最后的ALL改为NOPASSWD: ALL即可。验证配置不要直接退出当前会话，另开一个终端用sudo -l -U user1@corp.ippipp.com确认权限生效。
最后提醒一点，如果某台Debian机器要退役或更换主机名，记得用realm leave cleanly移除计算机账号，避免AD中残留无效的计算机对象。整个流程跑通之后，Debian的账号体系就与AD完全打通，后续无论是SSH密钥分发还是审计日志关联域账号，都会顺畅很多。
DebianActive Directory域加入修改时间：2026-08-31 12:46:52