Unix Single Sign On Integration mit Active Directory

[handwerker]

Hallo,

Ich bin gerade am suchen wie man am elegantesten eine Single Sign on Integration von Unix/Linux/FreeBSD Maschinen mit Active Directory aufbauen kann.
Active Directory soll das "führende" Verzeichnis sein.
Auf Seiten der Unix Hosts exisistiert noch kein "zentrales" Usermanagement.
Man soll das AD Konto zur "Unix Anmeldung" nutzen können.
Die Berechtigung auf Gruppen von Unix Hosts soll über AD Gruppen geregelt werden.
Die Sudo Rechte sollen ebenfalls über AD Gruppen geregelt werden.

Welche Erfahrungen Empfehlungen habt Ihr dazu:
SSSD mit Domain Join via REALMD ?
FreeIPA single sided Domain Trust ?
OPENLDAP als Proxy zum Active Directory ?
Keycloak mit Active Directory Anbindung ?
MIT Kerberos mit Active Directory Anbindung ?
usw.

Mengengerüst: ca 100 Windows Server, ca 100 Unix/Linux/FreeBSD Server, ca 1000 User

Welche Erfahrungen habt Ihr mit derartigen Systemen? Vorteile/Nachteile ? Erzählt einfach mal.

Danke

 

[medV2]

Wir hatten früher Kerberos, das funktionierte leidlich, war beim Einrichten die Hölle
Jetzt SSSD, funktioniert leidlich, etwas weniger Hölle ..

Sudo Rechte kann ich dir leider nix zu sagen, Gruppen/Hosts funktionieren. Leider gibts dennoch immer wieder Probleme. Mal ist was nicht gecached, mal klappt die Passwortänderung nicht. Für 1000 User .. ganz ehrlich ich würd mir nen Dienstleister suchen :P