6.2. Intégration indirecte des systèmes Linux dans Active Directory par le biais de la gestion des identités
Dans l'intégration indirecte, les systèmes Linux sont d'abord connectés à un serveur central qui est ensuite connecté à Active Directory (AD). L'intégration indirecte permet à l'administrateur de gérer les systèmes et les politiques Linux de manière centralisée, tandis que les utilisateurs d'AD peuvent accéder de manière transparente aux systèmes et aux services Linux.
- Intégration basée sur la confiance entre les forêts avec AD
Le serveur de gestion des identités (IdM) fait office de serveur central pour contrôler les systèmes Linux. Une confiance Kerberos inter-royaumes est établie avec AD, ce qui permet aux utilisateurs d'AD de se connecter pour accéder aux systèmes et aux ressources Linux. IdM se présente à AD comme une forêt distincte et tire parti de la confiance au niveau de la forêt prise en charge par AD.
Lors de l'utilisation d'une fiducie :
- Les utilisateurs AD peuvent accéder aux ressources IdM.
- Les serveurs et les clients IdM peuvent résoudre les identités des utilisateurs et des groupes AD.
- Les utilisateurs et les groupes AD accèdent à l'IdM dans les conditions définies par l'IdM, comme le contrôle d'accès basé sur l'hôte.
- Les utilisateurs et les groupes AD continuent d'être gérés du côté AD.
- Intégration basée sur la synchronisation
Cette approche est basée sur l'outil WinSync. Un accord de réplication WinSync synchronise les comptes d'utilisateurs d'AD vers IdM.
AvertissementWinSync n'est plus activement développé dans Red Hat Enterprise Linux 8. La solution préférée pour l'intégration indirecte est la confiance inter-forêts.
Les limites de l'intégration basée sur la synchronisation sont les suivantes :
- Les groupes ne sont pas synchronisés entre IdM et AD.
- Les utilisateurs sont dupliqués dans AD et IdM.
- WinSync ne prend en charge qu'un seul domaine AD.
- Un seul contrôleur de domaine dans AD peut être utilisé pour synchroniser les données avec une instance d'IdM.
- Les mots de passe des utilisateurs doivent être synchronisés, ce qui nécessite l'installation du composant PassSync sur tous les contrôleurs de domaine du domaine AD.
- Après avoir configuré la synchronisation, tous les utilisateurs AD doivent modifier manuellement leurs mots de passe avant que PassSync ne puisse les synchroniser.
