Unión de sistemas Linux a un dominio Active Directory con Ansible

En entornos empresariales es común requerir la integración de sistemas Linux en un dominio Active Directory (AD), permitiendo una gestión centralizada de usuarios y políticas de seguridad. Esta operación, aunque posible manualmente mediante herramientas como realmd, sssd y adcli, puede automatizarse de forma eficiente utilizando Ansible, lo que permite ahorrar tiempo, reducir errores y asegurar la homogeneidad en múltiples servidores.

Este artículo presenta un playbook de Ansible diseñado para unir sistemas Linux basados en Debian/Ubuntu o RHEL/CentOS/Rocky a un dominio AD. Incluye detección automática del sistema operativo, instalación de los paquetes requeridos, verificación previa de conectividad DNS, unión condicional al dominio, y la opción de reiniciar el sistema al finalizar.

Requisitos

Antes de ejecutar el playbook, se deben cumplir los siguientes requisitos:

• Conectividad de red con el controlador de dominio (puertos DNS, LDAP, Kerberos).
• El sistema Linux debe tener configurado el DNS apuntando al servidor AD.
• Contar con un usuario en el dominio con permisos para unir equipos.
• Tener configurado Ansible en un nodo de gestión, con acceso SSH a los equipos objetivo.
• Opcionalmente, usar Ansible Vault para proteger las credenciales sensibles.

Variables definidas

• domain_name: Nombre FQDN del dominio al que se desea unir el sistema.
• organizational_unit: Ruta LDAP de la OU donde se registrará el equipo (opcional).
• ad_user_name y ad_password: Credenciales con permisos para la operación.
• force_restart: Si se establece a true, reiniciará el sistema tras unirse.

Automatización con Ansible

A continuación, se incluye el playbook que automatiza el proceso de unión al dominio:

---
- name: Join Linux system to Active Directory domain
  hosts: all
  become: yes
  vars:
    domain_name: "yourdomain.local"
    organizational_unit: ""            # Opcional: "OU=Servers,DC=yourdomain,DC=local"
    ad_user_name: "admin_joiner"
    ad_password: "SuperSecretPassword"
    force_restart: false

  tasks:

    - name: Gather OS facts
      ansible.builtin.setup:
        gather_subset: min

    - name: Install required packages (Debian/Ubuntu)
      apt:
        name:
          - realmd
          - sssd
          - adcli
          - oddjob
          - oddjob-mkhomedir
          - samba-common-bin
          - packagekit
        state: present
        update_cache: yes
      when: ansible_facts['os_family'] == "Debian"

    - name: Install required packages (RedHat/CentOS/Rocky)
      yum:
        name:
          - realmd
          - sssd
          - adcli
          - oddjob
          - oddjob-mkhomedir
          - samba-common-tools
        state: present
      when: ansible_facts['os_family'] == "RedHat"

    - name: Check DNS resolution of domain
      ansible.builtin.shell: "getent hosts {{ domain_name }}"
      register: dns_check
      changed_when: false
      failed_when: dns_check.rc != 0

    - name: Check if already joined to domain
      ansible.builtin.shell: "realm list | grep -iq '^realm-name: {{ domain_name }}'"
      register: realm_check
      changed_when: false
      failed_when: false

    - name: Join to AD domain
      ansible.builtin.shell: |
        echo "{{ ad_password }}" | realm join --user="{{ ad_user_name }}" {{ domain_name }} {% if organizational_unit != '' %} --computer-ou="{{ organizational_unit }}" {% endif %}
      when: realm_check.rc != 0
      register: join_result
      changed_when: "'successfully enrolled' in join_result.stdout.lower()"
      failed_when: join_result.rc != 0

    - name: Reboot if requested
      ansible.builtin.reboot:
        reboot_timeout: 600
      when: force_restart | bool

Consideraciones de seguridad

Para evitar exponer credenciales en texto plano, se recomienda el uso de Ansible Vault para cifrar la contraseña de ad_password. Esto se puede lograr con:

ansible-vault encrypt_string 'SuperSecretPassword' --name 'ad_password'

También se sugiere restringir la ejecución de este playbook a través de políticas y roles específicos dentro del equipo de operaciones.

Conclusión

Automatizar la unión de sistemas Linux a Active Directory es una tarea esencial en entornos heterogéneos. Usar Ansible para ello no solo mejora la eficiencia, sino que garantiza consistencia, trazabilidad y facilita la escalabilidad en la operación. Este playbook puede ser adaptado y ampliado para incluir más validaciones, configuración post-unión, o incluso integración con herramientas de monitorización o inventario.