4.9. Gestione dell'identità (traduzione automatica)

Nuovo controllo della sintassi della password in Directory Server

Questo miglioramento aggiunge nuovi controlli della sintassi delle password a Directory Server. Gli amministratori possono ora, ad esempio, abilitare i controlli dei dizionari, consentire o negare l'uso di sequenze di caratteri e palindromi. Come risultato, se abilitato, il controllo della sintassi dei criteri delle password in Directory Server impone password più sicure.

Directory Server fornisce ora un migliore supporto interno per la registrazione delle operazioni di logging

Diverse operazioni in Directory Server, avviate dal server e dai client, causano operazioni aggiuntive in background. In precedenza, il server registrava solo per le operazioni interne la parola chiave di Internalconnessione e l'ID dell'operazione era sempre impostato su -1. Con questo miglioramento, Directory Server registra la connessione reale e l'ID dell'operazione. È ora possibile rintracciare l'operazione interna al server o all'operazione client che ha causato questa operazione.

La tomcatjsslibreria supporta il controllo OCSP utilizzando il responder dell'estensione AIA

Con questo miglioramento, la tomcatjsslibreria supporta il controllo del protocollo OCSP (Online Certificate Status Protocol) utilizzando il responder dell'estensione di un certificato dell'Authority Information Access (AIA). Come risultato, gli amministratori di Red Hat Certificate System possono ora configurare il controllo OCSP che utilizza l'URL dell'estensione AIA.

Directory Server introduce nuove utilità a riga di comando per gestire le istanze

Red Hat Directory Server 11.0 introduce i programmi di dsctlutilità dscreate, dsconf, e , . Queste utilità semplificano la gestione di Directory Server utilizzando la riga di comando. Ad esempio, è ora possibile utilizzare un comando con parametri per configurare una funzione invece di inviare complesse istruzioni LDIF al server.

I comandi pki subsystem-cert-finde pki subsystem-cert-showe mostrano ora il numero di serie dei certificati

Con questo miglioramento, i comandi pki subsystem-cert-finde pki subsystem-cert-shownel sistema di certificazione mostrano il numero di serie dei certificati in uscita. Il numero di serie è un'informazione importante e spesso richiesto da molteplici altri comandi. Di conseguenza, l'identificazione del numero di serie di un certificato è ora più semplice.

I comandi pki usere pki groupsono stati deprecati in Certificate System

Con questo aggiornamento, i nuovi pki <subsystem>-usercomandi e pki <subsystem>-groupi comandi sostituiscono i comandi pki usere pki groupin Sistema Certificato. I comandi sostituiti funzionano ancora, ma visualizzano il messaggio che il comando è deprecato e si riferiscono ai nuovi comandi.

Certificate System supporta ora il rinnovo offline dei certificati di sistema

Con questo miglioramento, gli amministratori possono utilizzare la funzione di rinnovo offline per rinnovare i certificati di sistema configurati in Certificate System. Quando un certificato di sistema scade, il sistema di certificazione non si avvia. Come risultato del miglioramento, gli amministratori non hanno più bisogno di soluzioni alternative per sostituire un certificato di sistema scaduto.

Certificate System può ora creare CSR con estensione SKI per la firma di CA esterna

Con questo miglioramento, Certificate System supporta la creazione di una richiesta di firma del certificato (CSR) con l'estensione Subject Key Identifier (SKI) per la firma dell'autorità di certificazione esterna (CA). Alcune autorità competenti richiedono tale estensione o con un valore particolare o derivato dalla chiave pubblica delle autorità competenti. Come risultato, gli amministratori possono ora utilizzare il pki_req_skiparametro nel file di configurazione passato all'pkispawnutilità per creare una CSR con estensione SKI.

Gli utenti locali sono messi in cache da SSSD e serviti attraverso il nss_sssmodulo

In RHEL 8, il demone dei servizi di sicurezza di sistema (SSSD) serve utenti e gruppi da /etc/passwde /etc/groupsfile per impostazione predefinita. Il modulo sssnsswitch precede i file nel /etc/nsswitch.conffile.

KCM sostituisce KEYRING come memoria cache delle credenziali di default

In RHEL 8, la cache delle credenziali di default è il Kerberos Credential Manager (KCM) che è supportato dal sssd-kcmdeamon. KCM supera le limitazioni del KEYRING precedentemente utilizzato, come ad esempio la sua difficoltà di utilizzo in ambienti containerizzati perché non ha un percorso dei nomi, e di visualizzare e gestire le quote.

Gli utenti di Active Directory possono ora amministrare la gestione delle identità

Con questo aggiornamento, RHEL 8 consente di aggiungere un ID utente per un utente di Active Directory (AD) come membro di un gruppo Identity Management (IdM). Un ID override è un record che descrive l'aspetto di un utente AD specifico o di un gruppo di proprietà all'interno di una specifica vista ID, in questo caso la vista di fiducia predefinita. Come conseguenza dell'aggiornamento, il server IdM LDAP è in grado di applicare all'utente AD le regole di controllo accessi per il gruppo IdM.

sssctl stampa un rapporto sulle regole HBAC per un dominio IdM

Con questo aggiornamento, l'sssctlutilità del System Security Services Daemon (SSSD) può stampare un report di controllo degli accessi per un dominio IdM (Identity Management). Questa funzione risponde all'esigenza di alcuni ambienti di vedere, per motivi normativi, un elenco di utenti e gruppi che possono accedere a una specifica macchina client. L'esecuzione sssctl access-report domain_namesu un client IdM stampa il sottoinsieme analizzato delle regole HBAC (host-based access control) nel dominio IdM che si applicano alla macchina client.

I pacchetti di Identity Management sono disponibili come modulo

In RHEL 8, i pacchetti necessari per l'installazione di un server e di un client di Identity Management (IdM) sono forniti come modulo. Il clientflusso è il flusso predefinito del idmmodulo ed è possibile scaricare i pacchetti necessari per installare il client senza abilitare il flusso.

Aggiunta la soluzione di registrazione delle sessioni per RHEL 8

Una soluzione di registrazione della sessione è stata aggiunta a Red Hat Enterprise Linux 8 (RHEL 8). Un nuovo tlogpacchetto e il relativo lettore di sessioni della console web consentono di registrare e riprodurre le sessioni del terminale utente. La registrazione può essere configurata per utente o gruppo di utenti tramite il servizio System Security Services Daemon (SSSD). Tutti gli ingressi e le uscite dei terminali vengono catturati e memorizzati in formato testuale in un giornale di sistema. L'input è inattivo di default per motivi di sicurezza per non intercettare password grezze e altre informazioni sensibili.

authselect semplifica la configurazione dell'autenticazione utente

Questo aggiornamento introduce l'utilità che semplifica la configurazione dell'autenticazione utente sugli host RHEL 8, sostituendo l'authconfigutilità. authselectviene fornito con un approccio più sicuro alla gestione dello stack PAM che semplifica le modifiche alla configurazione PAM per gli amministratori di sistema. authselectpuò essere utilizzato per configurare metodi di autenticazione come password, certificati, smart card e impronte digitali. Si noti che authselectnon configura i servizi richiesti per unire domini remoti. Questo compito viene eseguito da strumenti specializzati, come realmdo ipa-client-install.

SSSD consente ora di selezionare uno dei diversi dispositivi di autenticazione Smartcard

Con questo aggiornamento, è possibile configurare l'URI PKCS#11 per la selezione dei dispositivi di autenticazione Smartcard.