之前写过两篇Horizon Linux虚拟桌面的文章

1，Horizon系列之安装配置CentOS7虚拟桌面

2，Horizon系列之安装配置Ubuntu18虚拟桌面

　　第一篇是基于winbind 使用smb加域进行域用户验证，第二篇是通过开源软件PBISO来加域。这两种模式都需要虚拟机加域，如果桌面多，则域的维护工作较重，今天就基于一种轻量级的目录访问协议LDAP来做域用户的验证，它的原理很简单，使用Linux系统内置的系统安全服务守护进程 (System Security Services Daemon, SSSD)通过LDAP和域控通信。通过只读方式，读取域用户，来实现Linux桌面用户的管理和登录，且虚拟机不用加域，只需要虚拟机和域控通过ldap协议通信即可，易维护。如果对安全系数要求较高，还可以建立只读普通域用户，授权对特定的OU为只读模式，但是前期配置步骤稍微有点多，此文主要以如何让Linux7和域控通过ldap协议通信，并且实现Linux下常用的sudo权限。

[scode type="blue"]
软件版本：Centos7.6 horizon 7.9，horizon从7.2开始支持SSSD和LDAP验证
域名：lzuvdi.local
域控制器：ad.lzuvdi.local
[/scode]

虚拟机须禁用ipv6，禁用virbr0，禁用NMtool，并配置默认搜索域和DNS，具体操作看这里Horizon系列之安装配置CentOS7虚拟桌面

一，准备CA证书

安装域证书看这里，Horizon系列之替换各组件自签名SSL证书。

1，导出CA证书

打开证书颁发机构，右键选择域证书，点击所有任务，单击备份CA，下一步

勾选私钥和CA证书和证书数据库和证书数据库日志，选择保存位置，下一步

密码选项留空，设置密码也可以，但是必须要记住,后面要用到。下一步，单击完成备份。

2，安装SSSD和LDAP组件

yum install -y sssd nss-pam-ldapd sssd-ad sssd-tools

3，生成所需文件和目录

authconfig --enablesssd --enablesssdauth --enableldap --enableldapauth --disableforcelegacy --enableldaptls --disablekrb5 --ldapserver ldap://ad.lzuvdi.local --ldapbasedn "dc=lzuvdi,dc=local" --enablemkhomedir --update

然后

systemctl restart sssd

4，把第1步备份的CA证书上传到/etc/openldap/cacerts

5，转换证书为LDAP可识别的证书格式

openssl pkcs12 -in lzuvdi-AD-CA.p12 -out ad.pem

第一次提示输入备份时设置的密码，我备份CA时密码为空，则这里也留空。第二次提示设置一个PEM证书的密码，输入即可。

二，配置LDAPS

1，打开ldp.exe

2，点击左上角连接，单击连接，端口输入636，勾选SSL，单击确定。

此时左上角的链接已变为ldaps

3，点击左上角连接，单击绑定，勾选作为当前已登录用户绑定，单击确定。

4，点击浏览-搜索，在DN一栏输入域控DC和OU信息，进行查询，如我建立的VDI_Users

5，正常查询到我建立的65个用户

此时，说明LDAPS正常工作

[scode type="blue"]下面关键内容仅对打赏用户开放，之前通过微信打赏的用户，微信联系我获取密码，谢谢！[/scode]

　　这几天在做horizon桌面，凭着之前的经历，一路下一步，风雨无阻。哼着小曲在view管理界面添加vc后再添加composer，继续添加域，报错如下：

按照之前经验，先跳过，添加完vc 后再添加composer，结果还是一样的报错。尝试其他方法无果，包括尝试域用户格式，lzuvdi\administrator和administrator@lzuvdi.com，想到的想不到的都测试过，不行！最后我把域控制器重新安装一遍，之前的域名是lzuvdi.cn，现在改为了lzuvdi.local，还是报错如下，

这是我之前从来没遇到过的境地，让我陷入了沉思，求助前辈，他说你试试解决证书问题，一顿操作之后，一步到位，成功添加。

如何更换horizon 组件证书看这里 Horizon系列之替换各组件自签名SSL证书

一，VMware Horizon View 的内部版本号和版本对应关系

二，NVIDIA虚拟GPU软件支持的GPU列表

三，Dell 服务器 ESXi返回/无法初始化nvml:未知错误 NVIDIA GPU

四，Horizon系列之安装配置CentOS7虚拟桌面

五，Horizon系列之安装配置Ubuntu18虚拟桌面

六，Horizon系列之CentOS虚拟桌面安装配置VGPU

七，Horizon系列之Ubuntu虚拟桌面安装配置VGPU

八，VGPU License服务器高可用部署方案详细教程

九，Horizon系列之安装配置Windows Server 2016 RDS桌面

十，NVIDIA VGPU软件功能参数对比

十一，Horizon系列之替换各组件自签名SSL证书

做完horizon桌面以后，在仪表板中的系统运行状态里会有提示，连接服务器的ssl证书无效。

如果需要更换vSphere自带的SSL证书看这里VMware之使用自签名证书替换vSphere各组件自带SSL证书

如果安装了安全服务器，也会有提示

如果配置了事件数据库，在事件日志中也会有相应的提示

这里可以使用域证书服务来解决这个问题。

一，安装配置CA服务器

安装一台Windows server 2016虚拟机，更改主机名，然后加域，也可以直接在域控中安装证书服务。

1，安装域证书服务

在服务器角色中选择Active Directory证书服务，下一步

在角色服务中选择证书颁发机构和证书颁发机构Web注册，下一步，直至安装完成

在服务器管理中打开配置证书服务

选择证书颁发机构和证书颁发机构Web注册（选择web注册是为了方便后面通过网页申请证书），下一步

选择企业CA，下一步，选择根CA

选择创建新的私钥

密钥长度2048

其他默认即可，下一步直至安装完成。

二，配置CA模板

1，在服务器管理器中，打开证书颁发机构，右键单击证书模板，单击管理，打开证书模板控制台

右键单击Web 服务器，选择复制模板

2，单击常规选项卡，在模板显示名称字段中，输入 Horizon 作为新模板的名称。

3，单击兼容性选项卡，证书颁发机构选择Windows Server 2016，证书接收人选择Windows 7 / Server 2008 R2，如果是其他版本的服务器，根据真实情况选择即可。

3，单击请求处理选项卡。勾选允许导出私钥

如果ca服务器是单独的虚拟机，则

4，单击安全选项卡，分别选中Authenticated Users和Administrator，确保勾选写入和注册权限

Authenticated Users

Administrator

5，右键单击证书模板，选择新建，点击要颁发的证书模板

6，选中新建的模板Horizon，单击确定。

[scode type="blue"]下面关键内容仅对打赏用户开放，之前通过微信打赏的用户，微信联系我获取密码，谢谢！[/scode]

Ubuntu的虚拟桌面配置也很简单，根据步骤肯定会成功。以下基于horizon7.8 ubuntu18.04.2。

如果需要配置CentOS的桌面，参考这里 Horizon系列之安装配置CentOS7虚拟桌面

一，配置虚拟机模板

1，在线安装open vmtools

apt-get install open-vm-tools-desktop

2，安装ssh服务端，ubuntu默认自带ssh客户端，服务端需要自己安装

apt-get install openssh-server

3，卸载自带的vi编辑器，默认自带的编辑器是个精简版，非常难用，用过的都知道

apt-get remove vim-common

4，安装完整版本的vi编辑器

apt-get install vim

5，安装必需的依赖包，

apt-get install python python-dbus python-gobject lightdm

在安装过程中选择 lightdm 作为显示管理器

6，安装 PowerBroker Identity Services Open (PBISO) 身份验证工具

打开https://github.com/BeyondTrust/pbis-open/releases，找到以linux.x86_64.deb.sh结尾的文件，下载并安装。

wget https://github.com/BeyondTrust/pbis-open/releases/download/9.0.1/pbis-open-9.0.1.525.linux.x86_64.deb.sh
chmod +x pbis-open-9.0.1.525.linux.x86_64.deb.sh
./pbis-open-9.0.1.525.linux.x86_64.deb.sh

7，加域

[scode type="blue"]下面关键内容仅对打赏用户开放，之前通过微信打赏的用户，微信联系我获取密码，谢谢！[/scode]

[ppblock ex="原创不易，打赏后即可获取文章密码！"]

执行下面的命令加域

domainjoin-cli join lzuvdi.com administrator

查看加域结果

8，配置域环境

依次执行下面的命令

/opt/pbis/bin/config UserDomainPrefix lzuvdi 
/opt/pbis/bin/config AssumeDefaultDomain true 
/opt/pbis/bin/config LoginShellTemplate /bin/bash 
/opt/pbis/bin/config HomeDirTemplate %H/%U

[scode type="yellow"]备注：lzuvdi 是域名[/scode]

9，查找用户

id user01
id user02

10，设置域用户权限，user01属于Domain Admins组，user02只属于Domain Users

编辑visudo加入下面一行，使得Domain Admins组有sudo权限

%domain^admins ALL=(ALL) NOPASSWD:ALL

11，测试sudo权限

user01可以正常使用sudo权限，提示user02不在sudo文件中。

12，编辑 /etc/pam.d/common-session 文件

session [success=ok default=ignore] pam_lsass.so

重新安装或更新 Horizon Agent for Linux 后，必须重复此步骤

13，编辑 /usr/share/lightdm/lightdm.conf.d/50-unity-greeter.conf 文件并附加以下行

allow-guest=false
greeter-show-manual-login=true

14，上传Linux系统的horizon agent解压并安装，然后重启

./install_viewagent.sh -A yes

15，测试域用户登录桌面

16，编辑/etc/vmware/viewagent-custom.conf文件

去除SSODesktopType=UseGnomeUbuntu前面的#

17，清理之前登录测试在/home/%D/文件夹下自动创建的用户文件夹，以及horizon agent程序和pbis程序，删除在/var/lib/AccountsService/users/ 下生成的域用户文件

18，创建linux版本的客户机自定义规范，然后克隆ubuntu为模板

二，创建桌面池

选择自动完整桌面池。创建过程选择第18步创建好的客户机规范。

三，测试桌面

1，web登录

2，客户端登录

[/ppblock]

一个VDI项目中，客户要求使用Linux系统。Windows的桌面，一路点鼠标下一步，没有什么难度，而Linux，搜遍全网，没有一篇正经文档，当然与我搜索的姿势也有关，参考VMware官方文档，如同嚼蜡。做完Linux桌面，其实发现并没有想象中的那么复杂，只不过步骤繁多，需要耐心。

如果需要做Ubuntu的桌面，参考这里 Horizon系列之安装配置Ubuntu18虚拟桌面

配置linux桌面，最重要的则是加域，horzion支持以下几种方式

1，OpenLDAP 服务器直通身份验证
2，针对 Microsoft Active Directory 的系统安全服务守护进程 (System Security Services Daemon, SSSD)LDAP 身份验证
3，加入 Winbind 域
4，PowerBroker Identity Services Open (PBISO) 身份验证

此文基于winbind加域，horizon 7.8，CentOS 7.6。

一，配置虚拟机模板

1，禁用ipv6，编辑文件/etc/sysctl.conf，添加下面的行：

net.ipv6.conf.all.disable_ipv6 =1
net.ipv6.conf.default.disable_ipv6 =1

保存并退出文件。
执行下面的命令来使设置生效。

sysctl -p

2，禁用virbr0，

ifconfig virbr0 down
brctl delbr virbr0
systemctl disable libvirtd

3，禁用NMtool

systemctl stop NetworkManager
systemctl disable NetworkManager

4，更改默认搜索域和DNS

在网卡配置文件加入

DNS1=192.168.80.100
DNS2=192.168.80.200
DOMAIN=lzuvdi.com

重启网络服务

5，配置yum，安装 winbind、samba 和 Kerberos 软件包，并把smb和winbind 加入开机自启

yum install -y samba samba-winbind krb5-workstation samba-winbind-clients authconfig-gtk
systemctl enable smb
systemctl enable winbind

6，图形界面加域，

authconfig-gtk

User Account Database:Winbind
Winbind Domain:LZUVDI
Security Model:ads
Winbind ADS Realm:LZUVDI.COM
Winbind Domain Controllers:ad1.lzuvdi.com,ad2.lzuvdi.com
Template Shell:/bin/bash

在Advanced Options 勾选Create home directories on the first login

在Identiity Authentication 中点击 Join Domain

选择Save，输入域管理员密码加域，然后点击Apply，重启虚拟机系统。

7，查看加域信息

在域控中打开用户管理器，vdi虚拟机已加入域控

虚拟机上查看域信息

net ads info

新建用户

查找用户

id user01
id user02

两个账号确实存在，虚拟机成功加域，为什么查找不到用户，换个方式

id user01@lzuvdi
id user02@lzuvdi

知道为什么吗？

[scode type="blue"]下面关键内容仅对打赏用户开放，之前通过微信打赏的用户，微信联系我获取密码，谢谢！[/scode]