5.2. Integración indirecta
En la integración indirecta, los sistemas Linux se conectan primero a un servidor central que, a su vez, está conectado a Active Directory (AD). La integración indirecta permite al administrador gestionar los sistemas y las políticas de Linux de forma centralizada, mientras que los usuarios de AD pueden acceder de forma transparente a los sistemas y servicios de Linux.
- Integración basada en la confianza entre bosques con AD
El servidor de gestión de identidades (IdM) actúa como servidor central para controlar los sistemas Linux. Se establece una confianza Kerberos cruzada con AD, lo que permite a los usuarios de AD iniciar sesión para acceder a los sistemas y recursos Linux. IdM se presenta ante AD como un bosque independiente y aprovecha las confianzas a nivel de bosque que admite AD.
Cuando se utiliza un fideicomiso:
- Los usuarios de AD pueden acceder a los recursos de IdM.
- Los servidores y clientes de IdM pueden resolver las identidades de los usuarios y grupos de AD.
- Los usuarios y grupos de AD acceden a IdM bajo las condiciones definidas por IdM, como el control de acceso basado en el host.
- Los usuarios y grupos de AD siguen siendo gestionados en el lado de AD.
- Integración basada en la sincronización
Este enfoque se basa en la herramienta WinSync. Un acuerdo de replicación WinSync sincroniza las cuentas de usuario de AD a IdM.
AvisoWinSync ya no se desarrolla activamente en Red Hat Enterprise Linux 8. La solución preferida para la integración indirecta es la confianza entre bosques.
Las limitaciones de la integración basada en la sincronización incluyen:
- Los grupos no se sincronizan de IdM a AD.
- Los usuarios están duplicados en AD e IdM.
- WinSync sólo admite un único dominio AD.
- Sólo se puede utilizar un controlador de dominio en AD para sincronizar los datos con una instancia de IdM.
- Las contraseñas de los usuarios deben estar sincronizadas, lo que requiere que el componente PassSync esté instalado en todos los controladores de dominio del dominio AD.
- Después de configurar la sincronización, todos los usuarios de AD deben cambiar manualmente las contraseñas antes de que PassSync pueda sincronizarlas.
