Chapitre 9. Utilisation de noms d'hôtes DNS canonisés dans l'IdM
La canonisation du DNS est désactivée par défaut sur les clients de gestion d'identité (IdM) afin d'éviter les risques de sécurité potentiels. Par exemple, si un pirate contrôle le serveur DNS et un hôte du domaine, il peut faire en sorte que le nom d'hôte court, tel que demo, soit résolu par un hôte compromis, tel que malicious.example.com. Dans ce cas, l'utilisateur se connecte à un serveur différent de celui auquel il s'attendait.
Cette section décrit comment utiliser les noms d'hôtes canonisés sur les clients IdM.
9.1. Ajouter un alias à un principal d'hôte
Par défaut, les clients de gestion d'identité (IdM) inscrits à l'aide de la commande ipa-client-install n'autorisent pas l'utilisation de noms d'hôtes courts dans les principaux services. Par exemple, les utilisateurs ne peuvent utiliser que host/demo.example.com@EXAMPLE.COM au lieu de host/demo@EXAMPLE.COM pour accéder à un service.
Cette section explique comment ajouter un alias à un principal Kerberos. Notez que vous pouvez également activer la canonisation des noms d'hôtes dans le fichier /etc/krb5.conf. Pour plus de détails, voir Activation de la canonisation des noms d'hôtes dans les principaux de service sur les clients.
Conditions préalables
- Le client IdM est installé.
- Le nom d'hôte est unique dans le réseau.
Procédure
S'authentifier auprès de l'IdM en tant qu'utilisateur de
admin:kinit admin
Ajoutez l'alias au principal de l'hôte. Par exemple, pour ajouter l'alias
demoau principal de l'hôtedemo.examle.com:$ ipa host-add-principal demo.example.com --principal=demo
