4.15. Gestion de l'identité

SSSD prend désormais en charge la mise en cache de la mémoire pour les demandes de SID

Avec cette amélioration, SSSD prend désormais en charge la mise en cache de la mémoire pour les requêtes SID, c'est-à-dire les recherches de GID et d'UID par SID et vice versa. La mise en cache de la mémoire permet d'améliorer les performances, par exemple, lors de la copie de grandes quantités de fichiers vers ou depuis un serveur Samba.

Les modules Ansible ipaservicedelegationtarget et ipaservicedelegationrule sont désormais disponibles

Vous pouvez désormais utiliser les modules ipaservicedelegationtarget et ipaservicedelegationrule ansible-freeipa pour, par exemple, configurer un client de console web afin de permettre à un utilisateur de gestion d'identité (IdM) qui s'est authentifié avec une carte à puce d'effectuer les opérations suivantes :

Support SSSD pour PKINIT anonyme pour FAST

Grâce à cette amélioration, SSSD prend désormais en charge la PKINIT anonyme pour l'authentification flexible via un tunnel sécurisé (FAST), également appelée blindage Kerberos dans Active Directory. Jusqu'à présent, pour utiliser FAST, un keytab Kerberos était nécessaire pour demander les informations d'identification requises. Vous pouvez désormais utiliser PKINIT anonyme pour créer ce cache d'informations d'identification afin d'établir la session FAST.

L'IdM prend désormais en charge les numéros de série aléatoires

Avec cette mise à jour, Identity Management (IdM) inclut désormais dogtagpki 11.2.0, qui vous permet d'utiliser Random Serial Numbers version 3 (RSNv3). Vous pouvez activer RSNv3 en utilisant l'option --random-serial-numbers lors de l'exécution de ipa-server-install ou ipa-ca-install. Lorsque RSNv3 est activé, IdM génère des numéros de série entièrement aléatoires pour les certificats et les demandes dans PKI sans gestion de plage. En utilisant RSNv3, vous pouvez éviter la gestion des plages dans les grandes installations IdM et prévenir les collisions communes lors de la réinstallation d'IdM.

IdM permet désormais de limiter le nombre de liaisons LDAP autorisées après l'expiration du mot de passe d'un utilisateur

Cette amélioration permet de définir le nombre de liaisons LDAP autorisées lorsque le mot de passe d'un utilisateur Identity Management (IdM) a expiré :

Nouveaux rôles ipasmartcard_server et ipasmartcard_client

Avec cette mise à jour, le paquet ansible-freeipa fournit des rôles Ansible pour configurer les serveurs et les clients de gestion des identités (IdM) pour l'authentification par carte à puce. Les rôles ipasmartcard_server et ipasmartcard_client remplacent les scripts ipa-advise pour automatiser et simplifier l'intégration. Le même inventaire et le même schéma de dénomination sont utilisés que dans les autres rôles ansible-freeipa.

IdM prend désormais en charge la configuration d'AD Trust avec Windows Server 2022

Grâce à cette amélioration, vous pouvez établir une confiance inter-forêts entre les domaines Identity Management (IdM) et les forêts Active Directory qui utilisent des contrôleurs de domaine fonctionnant sous Windows Server 2022.

Les messages de débogage de ipa-dnskeysyncd et ipa-ods-exporter ne sont plus enregistrés dans /var/log/messages par défaut

Auparavant, ipa-dnskeysyncd, le service responsable de la synchronisation entre LDAP et OpenDNSSEC, et ipa-ods-exporter, le service d'exportation OpenDNSSEC de Identity Management (IdM), enregistraient par défaut tous les messages de débogage sur /var/log/messages. Par conséquent, les fichiers journaux augmentaient considérablement. Avec cette amélioration, vous pouvez configurer le niveau de journalisation en définissant debug=True dans le fichier /etc/ipa/dns.conf. Pour plus d'informations, consultez default.conf(5), la page de manuel du fichier de configuration IdM.

samba repassé à la version 4.16.1

Les paquets samba ont été mis à jour vers la version amont 4.16.1, qui apporte des corrections de bogues et des améliorations par rapport à la version précédente :

SSSD prend désormais en charge l'intégration directe avec Windows Server 2022

Grâce à cette amélioration, vous pouvez utiliser SSSD pour intégrer directement votre système RHEL aux forêts Active Directory qui utilisent des contrôleurs de domaine exécutant Windows Server 2022.

Amélioration des performances multithread de SSSD

Auparavant, SSSD sérialisait les requêtes parallèles provenant d'applications multithread, telles que Red Hat Directory Server et Identity Management. Cette mise à jour corrige toutes les bibliothèques client SSSD, telles que nss et pam, afin qu'elles ne sérialisent pas les requêtes, permettant ainsi aux requêtes provenant de plusieurs threads d'être exécutées en parallèle pour de meilleures performances. Pour activer le comportement précédent de la sérialisation, définissez la variable d'environnement SSS_LOCKFREE sur NO.

Directory Server permet désormais d'annuler la tâche du plug-in Auto Membership.

Auparavant, la tâche du plug-in Auto Membership pouvait générer une utilisation élevée du CPU sur le serveur si Directory Server avait une configuration complexe (grands groupes, règles complexes et interaction avec d'autres plugins). Avec cette amélioration, vous pouvez annuler la tâche du plug-in Auto Membership. Par conséquent, les problèmes de performance ne se produisent plus.

Directory Server prend désormais en charge les opérations de suppression récursive lors de l'utilisation de ldapdelete

Avec cette amélioration, Directory Server prend désormais en charge le contrôle OpenLDAP Tree Delete Control [1.2.840.113556.1.4.805]. Par conséquent, vous pouvez utiliser l'utilitaire ldapdelete pour supprimer de manière récursive les sous-entrées d'une entrée parentale.

Vous pouvez désormais définir des options de réplication de base lors de l'installation de Directory Server

Avec cette amélioration, vous pouvez configurer les options de réplication de base comme les identifiants d'authentification et le découpage du changelog pendant l'installation d'une instance à l'aide d'un fichier .inf.

Directory Server prend désormais en charge la création d'instances par un utilisateur non root

Auparavant, les utilisateurs non root ne pouvaient pas créer d'instances de Directory Server. Avec cette amélioration, un utilisateur non root peut utiliser la sous-commande dscreate ds-root pour configurer un environnement dans lequel les commandes dscreate,dsctl,dsconf sont utilisées comme d'habitude pour créer et administrer des instances de Directory Server.

pki les paquets ont été renommés en idm-pki

Les paquetages pki suivants sont maintenant renommés en idm-pki afin de mieux distinguer les paquetages IDM de ceux du Système de certification Red Hat :