第5章 Managed Service Account を使用した AD へのアクセス

Managed Service Account (MSA) を使用すると、RHEL ホストがドメインに参加することなく Active Directory にアクセスできるようになります。この方法により、一方向の信頼関係の制限を克服し、信頼されていない環境であっても、特定のクライアントが認証やリソースのクエリーを実行できるようになります。

たとえば、AD ドメイン production.example.com が、lab.example.com AD ドメインと一方向の信頼関係を持つ場合は、以下の条件が適用されます。

つまり、client.lab.example.com などの lab ドメインに参加しているホストは、信頼を介して production ドメインからリソースにアクセスできないことを意味します。

client.lab.example.com ホストの例外を作成する場合は、adcli ユーティリティーを使用して、production.example.com ドメイン内の client ホストの MSA を作成できます。MSA の Kerberos プリンシパルを使用して認証することにより、client ホストから production ドメインで安全な LDAP 検索を実行できます。