Возможно ли настроить подстановку имени домена, при авторизации в убунту через АД?

Отключить пароль от скринсэйвера?

Дмитрий, к сожалению, это не вариант. Компьютер должен быть защищен паролем. В AD на Linuxe вообще не так уж много плюсов. Самый важный плюс - авторизация.

Анатолий Друми, посмотрите мануалы по настройке squid + AD, там все делают авторизацию и аутентификацию только по имени, без необходимости добавлять имя домена. возможно некоторые варианты конфига будут полезны. если не ошибаюсь, это krb5.conf.

CityCat4 способ был следующим:

aptitude install realmd samba-common-bin samba-libs sssd-tools krb5-user adcli

sudo realm discover DOMAIN.LOCAL
sudo realm--verbose join DOMAIN.LOCAL -U admin@DOMAIN.LOCAL

Этого оказалось достаточно для логина, даже без редактирования /etc/krb5.conf

Но, ограничение неприятное нашлось, его описал выше. Подскажете, что изменить?

Анатолий Друми, Понятно. Собезьянничали пару команд, не вдаваясь особо собственно что происходит - ну и происходит естественно, то, что происходит всегда, когда настраивается фиг знает как.

Если Вам нужно только в домен, без расшаривания дисков - то нужно не самбу использовать, а SSS. Настраивается /etc/sssd/sssd.conf, только ман внимательно читайте, возможностей у sssd овердофига. У самбы их тоже есть, но они в основном для того, чтобы виндой прикидываться.

Без редактирования /etc/krb5.conf у меня не получалось ни разу - вся работа начинается с проверки работоспособности Кербероса - это Вам нет WinNT, без него тут никак.
Пример:

[appdefaults]
        encrypt = yes

[libdefaults]
        default_realm = ZHOPA.HENKA
        dns_lookup_kdc = true
        dns_lookup_realm = true
        ticket_lifetime = 24h
        clockskew = 300
        v4_instance_resolve = false

        default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
        default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
        permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5

        v4_name_convert = {
                host = {
                        rcmd = host
                        ftp = ftp
                }
        }

[realms]
        ZHOPA.HENKA = {
                kdc = 10.1.1.4 10.1.1.3
                kpasswd_server = 10.1.1.4 10.1.1.3
                admin_server = 10.1.1.4 10.1.1.3
                default_domain = zhopa.henka
        }

[logging]
        default = SYSLOG:INFO:USER

[domain_realm]
        .zhopa.henka = ZHOPA.HENKA
        zhopa.henka = ZHOPA.HENKA
        .zhopa.ru = ZHOPA.HENKA
        zhopa.ru = ZHOPA.HENKA

Этот конфиг был составлен мной много лет назад, возможно в нем половина не нужна. Особое внимание на параметр clockskew - он определяет насколько локальное время может разойтись с временем DC

Добавление машины в домен может делаться через adcli или же через net ads join - все равно самбу поставили. После чего настраивается sssd (первая часть конфига):

[sssd]
config_file_version = 2
domains = zhopa.henka
services = nss, pam
;debug_level = 0x07770

[nss]
filter_users = root
shell_fallback = /sbin/nologin
fallback_homedir = /usr/share/smbusers/%u
default_shell = /bin/sh
;debug_level = 0x07770

[pam]
;debug_level = 0x07770
;pam_verbosity = 3

debug level - для отладки, в реале не нужен
pam_verbosity - для отладки, в реале не нужен
fallback homedir - указывает домашку пользователя, ее кто-то должен создать, если нет! Например pam_mkhomedir
(Вторая часть конфига):

[domain/zhopa.henka]
;debug_level = 0x07770
id_provider = ldap
auth_provider = ad
access_provider = ldap
selinux_provider = none

ldap_referrals = false

ldap_uri = ldap://dc1.zhopa.henka/
ldap_backup_uri = ldap://dc2.zhopa.henka/

ad_server = dc1.zhopa.henka
ad_backup_server = dc2.zhopa.henka

ldap_sasl_mech = GSSAPI

ldap_id_mapping = true
ldap_schema = ad
ldap_idmap_default_domain_sid = S-1-5-21-xxxx.... (здесь Ваш domain SID)

lookup_family_order = ipv4_only
case_sensitive = false
ldap_user_search_base = dc=zhopa,dc=henka
ldap_group_search_base = dc=zhopa,dc=henka
(это поисковая база, по умолчанию весь домен, но его можно ограничить, если надо)

ldap_access_order = expire
ldap_account_expire_policy = ad
ldap_force_upper_case_realm = true
(это нужно, чтобы модули аутентификации squid и прочие, которые рассчитывают видеть реалм в ВЕРХНЕМ регистре - работали)

krb5_realm = ZHOPA.HENKA
krb5_canonicalize = false

ldap_user_object_class = user
ldap_user_name = sAMAccountName
ldap_user_gecos = displayName
ldap_user_principal = userPrincipalName
ldap_user_modify_timestamp = whenChanged
ldap_user_shadow_last_change = pwdLastSet
ldap_user_shadow_expire = accountExpires

ldap_group_object_class = group
ldap_group_name = cn
(это все указывает на соответствие полей AD и полей пользователя и группы)

CityCat4, немного обидно про обезьянничание слышать, это не вполне так, понимание не прям большое, но оно есть, а за полный и обьемный комментарий огромное спасибо. Сейчас буду разбираться.

Анатолий Друми, Все настраивается по манам. Единственное - неплохо иметь подопытный домен, в который постоянно загоняешь и выпинываешь тачку, а так - все взято из манов.
Кстати, я наверное следующую статью (через-следующую, на следующую тема уже есть) - об этом и напишу :)