9.7. 대규모 IdM-AD 신뢰 배포를 위해 IdM 서버 및 클라이언트 튜닝을 위한 sssd.conf 의 옵션

사용자가 속한 모든 사용자와 달리 사용자가 속한 그룹을 아는 것은 사용자를 인증하고 승인할 때 중요합니다. ignore_group_members 가 true 로 설정된 경우 SSSD는 멤버가 아닌 그룹 오브젝트에 대한 정보만 검색하여 성능 향상을 크게 제공합니다.

subdomain_inherit 옵션을 사용하면 ignore_group_members 설정을 신뢰할 수 있는 AD 도메인 구성에 적용할 수 있습니다. subdomain_inherit 옵션에 나열된 설정은 AD 하위 도메인과 기본 (IdM) 도메인에 모두 적용됩니다.

이 매개변수는 PAM 세션의 결과 캐시 기간을 제어하여 ID 조회 중에 ID 공급자로의 과도한 왕복을 방지합니다. 5 초의 기본값은 복잡한 그룹 멤버십이 IdM 서버 및 IdM 클라이언트 측에 입력되는 환경에서 충분하지 않을 수 있습니다. Red Hat은 pam_id_timeout 을 단일 캐시되지 않은 로그인에 걸리는 시간(초)으로 설정하는 것이 좋습니다.

krb5_auth_timeout 을 늘리면 사용자가 많은 그룹의 멤버가 되는 환경에서 복잡한 그룹 정보를 처리하는 데 더 많은 시간을 할애할 수 있습니다. Red Hat은 이 값을 캐시되지 않은 단일 로그인에 걸리는 시간(초)으로 설정하는 것이 좋습니다.

역참조 조회는 단일 LDAP 호출에서 모든 그룹 멤버를 가져오는 수단입니다. ldap_deref_threshold 값은 역참조 조회를 트리거하기 위해 내부 캐시에서 누락해야 하는 그룹 멤버 수를 지정합니다. 더 적은 멤버가 없으면 개별적으로 조회됩니다. 역참조 조회는 대규모 환경에서 시간이 오래 걸릴 수 있으며 성능이 저하될 수 있습니다. 역참조 조회를 비활성화하려면 이 옵션을 0 으로 설정합니다.