1.5.2. MIT Kerberos 用のローカル承認プラグインの使用

winbind サービスは、ドメインメンバーに {AD} ユーザーを提供します。ドメインユーザーをローカルサービスに対して認証するには、winbind_krb5_localauth プラグインを使用します。このプラグインは、winbind を介して Kerberos プリンシパルを {AD} アカウントにマッピングします。

Kerberos と {AD} で異なるアカウント名の形式を使用している場合、認証が失敗する可能性があります。{AD} ユーザーの sAMAccountName 属性が EXAMPLE に設定されている場合を考えてみましょう。ユーザーが小文字のユーザー名でログインしようとすると、Kerberos はユーザー名を大文字で返します。その結果、エントリーは認証の失敗に一致しません。

winbind_krb5_localauth プラグインを使用すると、アカウント名が正しくマッピングされます。これは GSSAPI 認証にのみ適用され、初期のチケット付与チケット (TGT) の取得には該当しません。