3.2. Directrices para planificar el nombre de dominio DNS y el nombre de dominio Kerberos
Al instalar el primer servidor de gestión de identidades (IdM), la instalación solicita un nombre DNS primario del dominio IdM y un nombre de dominio Kerberos. Las directrices de esta sección pueden ayudarle a establecer los nombres correctamente.
No podrá cambiar el nombre del dominio primario de IdM ni el nombre del reino de Kerberos una vez que el servidor esté instalado. No espere poder pasar de un entorno de pruebas a un entorno de producción cambiando los nombres, por ejemplo de lab.example.com a production.example.com.
- Un dominio DNS separado para los registros de servicio
- Asegúrese de que el primary DNS domain utilizado para el IdM no se comparte con ningún otro sistema. Esto ayuda a evitar conflictos a nivel de DNS.
- Delegación adecuada de nombres de dominio DNS
- Asegúrese de que tiene una delegación válida en el árbol DNS público para el dominio DNS. No utilice un nombre de dominio que no le haya sido delegado, ni siquiera en una red privada.
- Dominio DNS multietiqueta
-
No utilice nombres de dominio de una sola etiqueta, por ejemplo
.company. El dominio IdM debe estar compuesto por uno o varios subdominios y un dominio de nivel superior, por ejemploexample.comocompany.example.com. - Un nombre de dominio único de Kerberos
- Asegúrese de que el nombre del dominio no entra en conflicto con ningún otro nombre de dominio de Kerberos existente, como un nombre utilizado por Active Directory (AD).
- El nombre del dominio Kerberos como una versión en mayúsculas del nombre DNS primario
Considere la posibilidad de establecer el nombre del dominio como una versión en mayúsculas (
EXAMPLE.COM) del nombre de dominio DNS primario (example.com).AvisoSi no configura el nombre del dominio de Kerberos para que sea la versión en mayúsculas del nombre DNS primario, no podrá utilizar los fideicomisos de AD.
Notas adicionales sobre la planificación del nombre de dominio DNS y del nombre de dominio Kerberos
- Una implementación de IdM siempre representa un reino de Kerberos.
-
Puedes unirte a clientes IdM desde varios dominios DNS distintos (
example.com,example.net,example.org) a un único dominio Kerberos (EXAMPLE.COM). Los clientes de IdM no necesitan estar en el dominio DNS primario. Por ejemplo, si el dominio IdM es
idm.example.comlos clientes pueden estar en el dominioclients.example.compero debe configurarse un mapeo claro entre el dominio DNS y el reino Kerberos.NotaEl método estándar para crear el mapeo es el uso de los registros DNS _kerberos TXT. El DNS integrado en IdM añade estos registros automáticamente.
