Вывод компьютера из домена¶

Вывод компьютера из домена предполагает приведение его операционной системы в исходное состояние и удаление всех записей о хосте из каталога. Это может потребоваться, например, в случаях:

администратор допустил опечатку в названии имени хоста;
оборудование устарело и нужно его вывести из эксплуатации.

Действия на рабочей станции под управлением Astra Linux Special Edition¶

На рабочей станции сначала следует сделать откат настройки клиента FreeIPA, чтобы привести содержание общих конфигурационных файлов, включая настройки PAM стека, в исходное состояние. Для этого нужно войти в систему учетной записью локального администратора, например, localadmin и выполнить команду astra-freeipa-client с ключом -U:

sudo astra-freeipa-client -U

Результат выполнения команды:

Unenrolling client from IPA server
...
Client uninstall complete.

Удалить файл содержащий кэш aldpro-salt-minion’a:

sudo rm /var/tmp/aldpro-salt.ccache

Удалить пакеты приложений, указав явно aldpro, freeipa, sssd и krb5. Все другие пакеты будут удалены через зависимости.

sudo apt purge 'aldpro*' 'freeipa*' 'sssd*' 'krb5*'
sudo apt autoremove --purge

Проверить список профилей в домашней папке:

ls -la /home/

В результате отображаются профили нескольких пользователей, один из которых локальный администратор, например, localadmin, который был создан при установке ОС:

drwx------  3 admin      admins      4096 admin
drwx------  4 localadmin localadmin  4096 localadmin

Перед удалением необходимо убедиться, что все важные данные из домашеного каталога были сохранены. Важно помнить, что восстановить их при отсутствии резервной копии невозможно. Затем удалить домашние директории доменных пользователей и оставшиеся в системе артефакты.

sudo rm -rf /home/admin

Удалить каталоги клиентских приложений подсистем ALD Pro:

sudo rm -rf /var/lib/sss/pubconf/krb5.include.d/
sudo rm -rf /etc/krb5.conf.d/
sudo rm -rf /var/lib/sss/
sudo rm -rf /etc/sssd/
sudo rm -rf /opt/rbta/aldpro/
sudo rm -rf /etc/syslog-ng/aldpro/
sudo rm -rf /srv/aldpro-salt/minion.d/
sudo rm -rf /srv/aldpro-salt/config/
sudo rm -rf /var/lib/certmonger/

Для удаления корневого сертификата домена из файла /etc/ssl/certs/ca-certificates.crt следует вызвать утилиту update-ca-certificates:

sudo update-ca-certificates

В завершение действий над выводимым компьютером необходимо вернуть компьютеру исходное имя хоста, например, astra, и перезагрузить его:

sudo hostnamectl set-hostname astra
sudo reboot

Действия на рабочей станции под управлением Альт Рабочая станция 10.4 и Альт СП 10¶

sudo ipa-client-install --uninstall --unattended

При выполнении команды в системе происходят следующие действия:

в службе каталога снимается отметка о том, что хост зарегистрирован в домене;
ключи хоста удаляются из файла /etc/krb5.keytab;
содержимое конфигурационных файлов, например, /etc/krb5.conf, /etc/ldap/ldap.conf приводится в исходное состояние;
к имени файла конфигурации /etc/sssd/sssd.conf добавляется суффикс .deleted.

Удалить пакеты приложений, указав явно aldpro, freeipa, sssd. Все другие пакеты будут удалены через зависимости.

sudo apt-get remove -y --purge '^aldpro*' '^freeipa*' '^sssd*'
sudo apt-get autoremove --purge

Удалить домашние директории доменных пользователей:

sudo rm -rf /home/<логин_доменного_пользователя>

Удалить каталоги клиентских приложений подсистем ALD Pro:

sudo rm -rf /var/lib/sss/pubconf/krb5.include.d/
sudo rm -rf /etc/krb5.conf.d/
sudo rm -rf /var/lib/sss/
sudo rm -rf /etc/sssd/
sudo rm -rf /opt/rbta/aldpro/
sudo rm -rf /etc/syslog-ng/aldpro/
sudo rm -rf /srv/aldpro-salt/
sudo rm -rf /var/lib/certmonger/

Удалить репозиторий клиента ALD Pro:

sudo rm -rf /etc/apt/sources.list.d/aldpro.list
sudo rm -rf /etc/apt/preferences.d/aldpro-client
sudo apt-get update

Для удаления корневого сертификата домена следует вызвать утилиту update-ca-trust:

sudo update-ca-trust

В завершение действий над выводимым компьютером можно установить сетевые настройки и имя хоста с учетом нового сценария использования рабочей станции и перезагрузить его:

sudo reboot

Действия на рабочей станции под управлением РЕД ОС 7.3.5 и РЕД ОС 8¶

sudo ipa-client-install --uninstall --unattended

Внимание

В результате выполнения команды появится сообщение об успешности вывода клиента из домена Client uninstall complete., но также появится и сообщение об ошибке The ipa-client-install command failed.. В логе /var/log/ipaclient-uninstall.log при этом отобразится ошибка:

2025-06-06T08:47:49Z ERROR Some installation state for domainname has not been restored, see /var/lib/ipa/sysrestore/sysrestore.state

Данная ошибка не критична и вызвана особенностями IPA-клиента в РЕД ОС. Чтобы она не возникала можно предварительно удалить неиспользуему секцию [domainname] из файла конфигурации для восстановления /var/lib/ipa-client/sysrestore/sysrestore.state. Это можно сделать вручную или воспользоваться командой:

sudo sed -i '/\[domainname\]/,/enabled = False/ d' /var/lib/ipa-client/sysrestore/sysrestore.state

При выполнении команды в системе происходят следующие действия:

в службе каталога снимается отметка о том, что хост зарегистрирован в домене;
ключи хоста удаляются из файла /etc/krb5.keytab;
содержимое конфигурационных файлов, например, /etc/krb5.conf, /etc/ldap/ldap.conf приводится в исходное состояние;
к имени файла конфигурации /etc/sssd/sssd.conf добавляется суффикс .deleted.

sudo dnf remove --exclude=krb5-libs -y 'aldpro*' 'freeipa*' 'sssd*' 'krb5*'
sudo dnf -y autoremove

Удалить домашние директории доменных пользователей.

sudo ls -l /home
sudo rm -rf /home/<логин_доменного_пользователя>

Удалить каталоги клиентских приложений подсистем ALD Pro:

sudo rm -rf /var/lib/sss/pubconf/krb5.include.d/
sudo rm -rf /etc/krb5.conf.d/
sudo rm -rf /var/lib/sss/
sudo rm -rf /etc/sssd/
sudo rm -rf /opt/rbta/aldpro/
sudo rm -rf /etc/syslog-ng/aldpro/
sudo rm -rf /srv/aldpro-salt/
sudo rm -rf /var/lib/certmonger/

Удалить репозиторий клиента ALD Pro:

sudo rm -rf /etc/yum.repos.d/aldpro.repo
sudo dnf makecache

Для удаления корневого сертификата домена следует вызвать утилиту update-ca-trust:

sudo update-ca-trust

sudo reboot

Действия на контроллере домена¶

На сервере dc-1 нужно удалить DNS-записи хоста, а затем и сам хост.

kinit admin
ipa dnsrecord-del ald.company.lan. pc-1 --del-all

Результат удаления записей DNS:

---------------------
Удалена запись "pc-1"
---------------------

Удалить выводимый компьютер из базы системы FreeIPA:

ipa host-del pc-1.ald.company.lan

Результат удаления компьютера:

----------------------------------
Удалён узел "pc-1.ald.company.lan"
----------------------------------