Einführung in adutil - Active Directory Hilfsprogramm

Gilt für:SQL Server unter Linux

Das Tool adutil ist ein Befehlszeilenschnittstellenprogramm (CLI) zum Konfigurieren und Verwalten von Windows Active Directory Domänen für SQL Server für Linux und Container. Es beseitigt die Notwendigkeit, zwischen Windows und Linux-Computern zu wechseln, um Active Directory zu verwalten.

Bevor Sie beginnen, stellen Sie sicher, dass Sie adutil auf einen Host herunterladen, der bereits einer Active Directory Domäne beigetreten ist.

Das adutil Tool ist als eine Reihe von Befehlen und Unterbefehlen mit zusätzlichen Flags konzipiert, die Sie als weitere Eingabe angeben. Jeder Befehl auf oberster Ebene stellt eine Kategorie administrativer Funktionen dar. Die Unterbefehle innerhalb dieser Kategorien stellen je einen Vorgang dar. In diesem Artikel erfahren Sie, wie Sie adutil herunterladen und starten.

Konfigurieren adutil für LDAP über Secure Sockets Layer (SSL)

Sie sollten das Lightweight Directory Access Protocol über SSL (LDAPS) anstelle des Lightweight Directory Access Protocol (LDAP) verwenden. Weitere Informationen zu LDAP finden Sie unter Lightweight Directory Access Protocol (LDAP).

Sie können die useLdaps-Option auf true in der adutil.json-Konfigurationsdatei einstellen. Wenn Sie adutil als Benutzer ausführen, befindet sich die Konfigurationsdatei unter /var/opt/mssql/.adutil/adutil.json. Dieses JSON-Codebeispiel zeigt, wie die Einstellung konfiguriert wird:

{
    "useLdaps": "true"
}

Standardmäßig ist useLdapsfalse. Wenn Sie diese Einstellung konfigurieren und mssql-conf zum Erstellen der Keytab (Schlüsseltabelle) verwenden, stellen Sie sicher, dass Sie mssql-conf als mssql-Benutzer ausführen. Führen Sie den folgenden Befehl aus, um zu mssql Benutzer zu wechseln:

sudo su mssql

Um die Keytab-Datei mit mssql-conf einzurichten, lesen Sie bitte den Abschnitt Erstellen Sie die SQL Server-Dienst-Keytab-Datei mit mssql-conf.

Installation von adutil

Wenn Sie den Endbenutzer-Lizenzvertrag (ENDBENUTZER-Lizenzvertrag) während der Installation nicht akzeptieren, müssen Sie ihn beim ersten Ausführen des adutil Befehls mit der --accept-eula Kennzeichnung (für alle Verteilungen) ausführen.

Verwenden von adutil zum Verwalten von Windows Active Directory

Um adutil zu verwenden, müssen Sie das Kerberos-TGT (Ticketgewährungsticket) mit dem kinit Befehlszeilenbefehl und einem privilegierten Domänenkonto abrufen oder erneuern. Das Konto, das Sie verwenden, muss über die Berechtigung zum Erstellen von Konten und Dienstprinzipalnamen (Service Principal Names, SPNs) in der Domäne verfügen.

Die folgenden Beispiele zeigen einige typische Aktivitäten, die Sie mit adutil ausführen können. Zum Anzeigen einer Liste mit Befehlen oberster Ebene geben Sie adutil --help ein.

adutil --help

Die folgende Ausgabe wird angezeigt:

adutil - A general AD utility
  Usage:
    adutil [account|delegation|group|keytab|machine|ou|spn|user|config]
  Subcommands:
    account      Functions for generic account operations
    delegation   Functions for configuring delegation permissions
    group        Functions for group management
    keytab       Functions for keytab management
    machine      Functions for managing machine accounts
    ou           Functions for managing organizational units
    spn          Functions for service principal name (SPN) management
    user         Functions for user account management
    config       Functions for modifying adutil configuration
  Flags:
       --version       Displays the program version string.
    -h --help          Displays help with available flag, subcommand, and positional value parameters.
    -d --debug         Display additional debugging information when making LDAP/Kerberos calls.
       --accept-eula   Accepts the current EULA for adutil. This has no effect if the EULA has already been accepted.

Verwenden Sie die folgenden Beispiele, um Hilfe zu Befehlen auf niedrigerer Ebene zu erhalten:

• spn Befehl:

  adutil spn --help
  

• spn search Befehl:

  adutil spn search --help
  

Beispiele

Damit Sie sofort loslegen können, ist jeder Befehl dokumentiert. Im Folgenden finden Sie einige der typischen Aktivitäten, die adutil beim Konfigurieren oder Verwalten der Active-Directory-Authentifizierung für SQL Server unter Linux und in Containern verwendet werden:

• Erstellen Eines Kontos in Active Directory:

  adutil user create --name sqluser --distname CN=sqluser,CN=Users,DC=CONTOSO,DC=COM
  

• Erstellen Sie SPNs, die einem Konto oder Dienst zugeordnet sind:

  adutil spn addauto -n sqluser -s MSSQLSvc -H mymachine.contoso.com -p 1433
  

• Erstellen von Keytabs mithilfe von adutil:

  adutil keytab createauto -k /var/opt/mssql/secrets/mssql.keytab -p 1433 -H mymachine.contoso.com --password '<password>' -s MSSQLSvc
  

  Achtung

  Ihr Kennwort sollte der SQL Server Standardrichtlinie password folgen. Ein Standardkennwort enthält mindestens acht Zeichen, die aus drei der folgenden vier Kategorien stammen müssen: Großbuchstaben, Kleinbuchstaben, Grundzahlen (0–9) und Symbole. Kennwörter können bis zu 128 Zeichen lang sein. Verwenden Sie möglichst lange und komplexe Kennwörter.

Weitere Informationen finden Sie auf der Referenzhandbuchseite mithilfe von adutilman adutil.

Zugehöriger Inhalt

• Tutorial: Verwenden Sie "adutil", um Active Directory Authentifizierung mit SQL Server für Linux
• Tutorial: Konfigurieren der Active Directory-Authentifizierung mit SQL Server auf Linux-Containern
• Keytabs für SQL Server auf Linux rotieren