Einführung in adutil - Active Directory Hilfsprogramm

Gilt für:SQL Server unter Linux

Das Tool adutil ist ein Befehlszeilenschnittstellenprogramm (CLI) zum Konfigurieren und Verwalten von Windows Active Directory Domänen für SQL Server für Linux und Container. Es beseitigt die Notwendigkeit, zwischen Windows und Linux-Computern zu wechseln, um Active Directory zu verwalten.

Bevor Sie beginnen, stellen Sie sicher, dass Sie adutil auf einen Host herunterladen, der bereits einer Active Directory Domäne beigetreten ist.

Das adutil-Tool umfasst eine Reihe von Befehlen und Unterbefehlen mit zusätzlichen Flags, die Sie als weitere Eingabe angeben. Jeder Befehl auf oberster Ebene stellt eine Kategorie administrativer Funktionen dar. Die Unterbefehle innerhalb dieser Kategorien stellen je einen Vorgang dar. In diesem Artikel erfahren Sie, wie Sie adutil herunterladen und beginnen.

Konfigurieren von „adutil“ für LDAP über Secure Sockets Layer (SSL)

Sie sollten das Lightweight Directory Access Protocol über SSL (LDAPS) anstelle des Lightweight Directory Access Protocol (LDAP) verwenden. Weitere Informationen zu LDAP finden Sie unter Lightweight Directory Access Protocol (LDAP).

Sie können die useLdaps-Option auf true in der adutil.json-Konfigurationsdatei einstellen. Wenn Sie adutil unter dem mssql Benutzer ausführen, befindet sich die Konfigurationsdatei unter /var/opt/mssql/.adutil/adutil.json. Dieses JSON-Codebeispiel zeigt, wie die Einstellung konfiguriert wird:

{
    "useLdaps": "true"
}

Standardmäßig ist useLdapsfalse. Wenn Sie diese Einstellung konfigurieren und mssql-conf verwenden, um die Keytabtabelle (Schlüsseltabelle) zu erstellen, stellen Sie sicher, dass Sie mssql-conf als mssql Benutzer ausführen. Führen Sie den folgenden Befehl aus, um zu mssql Benutzer zu wechseln:

sudo su mssql

Informationen zum Einrichten der Keytabs mit mssql-conf finden Sie unter Create the SQL Server service keytab file using mssql-conf.

Installieren von adutil

Wenn Sie den Endbenutzer-Lizenzvertrag (EULA) während der Installation nicht akzeptieren, müssen Sie ihn beim ersten Ausführen des Adutil-Befehls mit dem --accept-eula Flag (für alle Verteilungen) ausführen.

Verwenden von "adutil" zum Verwalten von Windows Active Directory

Um adutil zu verwenden, müssen Sie das Kerberos TGT (Ticket-Bewilligungsticket) mit dem Kinit-Befehl und einem privilegierten Domänenkonto abrufen oder verlängern. Das Konto, das Sie verwenden, muss über die Berechtigung zum Erstellen von Konten und Dienstprinzipalnamen (Service Principal Names, SPNs) in der Domäne verfügen.

Die folgenden Beispiele zeigen einige typische Aktivitäten, die Sie mit adutil ausführen können. Zum Anzeigen einer Liste mit Befehlen oberster Ebene geben Sie adutil --help ein.

adutil --help

Die folgende Ausgabe wird angezeigt:

adutil - A general AD utility
  Usage:
    adutil [account|delegation|group|keytab|machine|ou|spn|user|config]
  Subcommands:
    account      Functions for generic account operations
    delegation   Functions for configuring delegation permissions
    group        Functions for group management
    keytab       Functions for keytab management
    machine      Functions for managing machine accounts
    ou           Functions for managing organizational units
    spn          Functions for service principal name (SPN) management
    user         Functions for user account management
    config       Functions for modifying adutil configuration
  Flags:
       --version       Displays the program version string.
    -h --help          Displays help with available flag, subcommand, and positional value parameters.
    -d --debug         Display additional debugging information when making LDAP/Kerberos calls.
       --accept-eula   Accepts the current EULA for adutil. This has no effect if the EULA has already been accepted.

Verwenden Sie die folgenden Beispiele, um Hilfe zu Befehlen auf niedrigerer Ebene zu erhalten:

• spn Befehl:

  adutil spn --help
  

• spn search Befehl:

  adutil spn search --help
  

Beispiele

Damit Sie sofort loslegen können, ist jeder Befehl dokumentiert. Hier sind einige der typischen Aktivitäten, die adutil beim Konfigurieren oder Verwalten der Active Directory-Authentifizierung für SQL Server unter Linux und in Containern verwendet werden:

• Erstellen Eines Kontos in Active Directory:

  adutil user create --name sqluser --distname CN=sqluser,CN=Users,DC=CONTOSO,DC=COM
  

• Erstellen Sie SPNs, die einem Konto oder Dienst zugeordnet sind:

  adutil spn addauto -n sqluser -s MSSQLSvc -H mymachine.contoso.com -p 1433
  

• Erstellen von Schlüsseltabellen mit adutil:

  adutil keytab createauto -k /var/opt/mssql/secrets/mssql.keytab -p 1433 -H mymachine.contoso.com --password '<password>' -s MSSQLSvc
  

  Achtung

  Ihr Kennwort sollte der SQL Server Standardrichtlinie password folgen. Ein Standardkennwort enthält mindestens acht Zeichen, die aus drei der folgenden vier Kategorien stammen müssen: Großbuchstaben, Kleinbuchstaben, Grundzahlen (0–9) und Symbole. Kennwörter können bis zu 128 Zeichen lang sein. Verwenden Sie möglichst lange und komplexe Kennwörter.

Weitere Informationen finden Sie in der Adutil-Referenzhandbuchseite mithilfe von man adutil.

Zugehöriger Inhalt

• Tutorial: Verwenden Sie "adutil", um Active Directory Authentifizierung mit SQL Server für Linux
• Tutorial: Konfigurieren der Active Directory-Authentifizierung mit SQL Server auf Linux-Containern
• Keytabs für SQL Server auf Linux rotieren