5장. 인증 및 상호 운용성
SSH 키 중앙 관리 지원
이전에는 호스트 및 사용자 SSH 공개 키를 중앙에서 관리할 수 없었습니다. Red Hat Enterprise Linux 6.3에는 기술 프리뷰로 Identity Management 서버를 위한 SSH 공개 키 관리 기능이 포함되어 있습니다. Identity Management 클라이언트의 OpenSSH는 Identity Management 서버에 저장된 공개 키를 사용하도록 자동으로 구성됩니다. 이제 Identity Management에서 SSH 호스트 및 사용자 ID를 중앙에서 관리할 수 있습니다.
SELinux 사용자 매핑
Red Hat Enterprise Linux 6.3에는 원격 시스템에서 사용자의 SELinux 컨텍스트를 제어할 수 있는 기능이 도입되었습니다. HBAC 규칙과 관련된 SELinux 사용자 맵 규칙을 정의하고 선택적으로 정의할 수 있습니다. 이러한 맵은 로그인 중인 호스트와 그룹 멤버십에 따라 사용자가 수신하는 컨텍스트를 정의합니다. 사용자가 Identity Management 백엔드에서 SSSD를 사용하도록 구성된 원격 호스트에 로그인하면 해당 사용자에 대해 정의된 매핑 규칙에 따라 사용자의 SELinux 컨텍스트가 자동으로 설정됩니다. 자세한 내용은 http://freeipa.org/page/SELinux_user_mapping 을 참조하십시오. 이 기능은 기술 프리뷰로 간주됩니다.
sshd에 필요한 여러 인증 방법
SSH를 설정하려면 다양한 인증 방법이 필요할 수 있습니다(이전에서는 SSH를 통해 성공적인 로그인에 필요한 인증 방법을 여러 개 허용함). 예를 들어 SSH 사용 시스템에 로그인하려면 암호와 공개 키를 모두 입력해야 합니다. 로그인에 필요한 인증을 지정하기 위해 /etc/ssh/sshd_config 파일에서 RequiredAuthentications1 및 RequiredAuthentications2 옵션을 구성할 수 있습니다. 예를 들면 다음과 같습니다.
~]# echo "RequiredAuthentications2 publickey,password" >> /etc/ssh/sshd_config/etc/ssh/sshd_config 옵션에 대한 자세한 내용은 sshd_config 도움말 페이지를 참조하십시오.
맵 캐싱에 대한 SSSD 지원
Red Hat Enterprise Linux 6.3에서 SSSD에는 새로운 기술 프리뷰 기능이 포함되어 있습니다. 이 기능은 Cryostat와 함께 작동하는 환경에 몇 가지 이점을 제공합니다.
- 캐시된 authconfig 맵을 사용하면 LDAP 서버에 연결할 수 없지만 NFS 서버에 연결할 수 있는 경우에도 클라이언트 시스템이 마운트 작업을 쉽게 수행할 수 있습니다.
- SSSD를 통해 map을 조회하도록 Cryostat 데몬이 구성된 경우 단일 파일만
/etc/sssd/sssd.conf여야 합니다.이전에는/etc/sysconfig/autofs파일을 구성하여 data를 가져와야 했습니다. - map을 캐싱하면 클라이언트에서 성능이 빨라지고 LDAP 서버의 트래픽이 줄어듭니다.
SSSD debug_level 동작 변경
SSSD가 /etc/sssd/sssd.conf 파일에서 debug_level 옵션의 동작을 변경했습니다. 이전에는 [sssd] 구성 섹션에서 debug_level 옵션을 설정할 수 있었으며 그 결과는 명시적으로 덮어쓰지 않는 한 다른 구성 섹션에 대한 기본 설정이었습니다.
[sssd] 섹션에서 기본값을 얻는 대신 구성 파일의 각 섹션에서 항상 debug_level 옵션을 독립적으로 지정해야 함을 의미합니다.
~]# python /usr/lib/python2.6/site-packages/sssd_update_debug_levels.pydebug_level 옵션이 [sssd] 섹션에 지정되어 있는지 확인합니다. 이 경우 debug_level 이 지정되지 않은 sssd.conf 파일의 다른 섹션에 동일한 수준 값을 추가합니다. debug_level 옵션이 다른 섹션에 명시적으로 존재하는 경우 변경되지 않은 상태로 유지됩니다.
New ldap_chpass_update_last_change option
새 옵션 ldap_chpass_update_last_change 가 SSSD 구성에 추가되었습니다. 이 옵션을 활성화하면 SSSD에서 shadowLastChange LDAP 특성을 현재 시간으로 변경합니다. 이는 LDAP 암호 정책을 사용하는 경우(일반적으로 LDAP 서버에서 처리)인 경우와 관련이 있습니다. 즉, LDAP 확장 작업이 암호를 변경하는 데 사용됩니다. 또한 암호를 변경하는 사용자가 속성에 쓸 수 있어야 합니다.
