跨域登录Linux系统求助：加入mydevenv.net域无法用corp域账号登录

我来帮你搞定这个Linux跨域登录的问题——Windows机器能正常用corp域账号登录，但Linux通过PBIS加入mydevenv域后不行，这大概率是PBIS的跨域配置没到位，咱们一步步来排查调整：

1. 先确认域信任关系没问题 #

首先得保证corp.mycompany.net和mydevenv.net之间的双向信任已经正确建立（毕竟Windows能跨域，说明AD层面的信任是通的，但得确认Linux能识别到）。

• 在Linux-1上跑这个命令检查信任列表：

  /opt/pbis/bin/lsa ad-get-trusts
  

  如果输出里看不到两个域的信任关系，得先回到AD服务器那边，确认信任的方向、传递性设置都正确（比如是双向外部信任或者林信任，根据你的域结构来）。

2. 配置PBIS允许信任域用户登录 #

PBIS默认只放行加入域（mydevenv.net）的用户，得手动把corp域加入允许登录的名单：

• 执行命令添加信任域：

  /opt/pbis/bin/config LoginAllowedTrustDomains corp.mycompany.net
  

• 验证配置是否生效：

  /opt/pbis/bin/config Show LoginAllowedTrustDomains
  

  输出里应该能看到corp.mycompany.net。

3. 测试信任域用户的解析是否正常 #

Linux得能正确识别corp域的用户信息，不然没法登录：

• 尝试解析一个corp域的用户（把username换成实际账号）：

  /opt/pbis/bin/getent passwd 'corp/username'
  # 或者用双反斜杠：/opt/pbis/bin/getent passwd corp\\username
  

  如果能返回用户的UID、GID、家目录等信息，说明解析正常；如果不行，检查Linux的DNS配置——得确保DNS服务器能解析两个域的AD服务器，或者配置了DNS转发到corp域的DNS。

4. 确保PBIS能发现信任域 #

有时候PBIS可能没自动发现信任域，得手动开启或者指定：

• 先开启域发现功能：

  /opt/pbis/bin/config DomainDiscoveryEnabled true
  

• 如果还是发现不了，手动添加corp域的AD服务器（把<corp-ad-ip>换成实际的corp域AD服务器IP）：

  /opt/pbis/bin/lsa add-ad-domain corp.mycompany.net <corp-ad-ip>
  

5. 重启PBIS服务让配置生效 #

所有配置改完后，必须重启PBIS服务才能生效：

/opt/pbis/bin/lsm restart
# 或者用systemctl（如果你的系统用systemd）：
systemctl restart pbis

6. 测试跨域登录 #

现在可以试试用corp域账号登录Linux-1了：

• 本地切换用户测试：

  su - 'corp/username'
  

• 或者用SSH远程登录：

  ssh 'corp/username@linux-1'
  

如果还是登不上，再排查这几个点：

• 确认corp域的用户账号有登录Linux的权限：比如用户是否在AD的某个组里，而这个组被PBIS配置为允许登录；
• 检查PBIS版本：旧版本可能有跨域支持的bug，试试升级到最新稳定版；
• 查看Linux的PAM配置：确保PBIS的PAM模块（比如pam_pbis.so）已经正确加载，没有额外的限制规则阻止信任域用户登录。

内容的提问来源于stack exchange，提问作者Jaydeep Chaudhari