5장. 인증 및 상호 운용성
이전에는 호스트와 사용자 SSH 공개키를 중앙에서 관리할 수 없었습니다. Red Hat Enterprise Linux 6.3에는 기술 프리뷰로 ID 관리 서버에 대한 SSH 공개키 관리가 포함되어 있습니다. 따라서 ID 관리 서버에 저장된 공개키를 사용하기 위해 ID 관리 클라이언트에서 OpenSSH는 자동으로 설정됩니다. SSH 호스트 및 사용자 ID는 ID 관리에서 중앙 관리될 수 있습니다. BZ#803822n
Red Hat Enterprise Linux 6.3에서는 원격 시스템에서 사용자의 SELinux 문맥을 제어하기 위한 기능을 소개하고 있습니다. SELinux 사용자 매핑 규칙은 정의할 수 있으며 옵션으로 HBAC 규칙과 연결할 수 있습니다. 이러한 매핑은 로그인하는 호스트와 그룹 맴버쉽에 따라 사용자가 수신하는 문맥을 정의합니다. ID 관리 백엔드와 함께 SSSD를 사용하도록 설정된 원격 호스트로 사용자가 로그인할 때 사용자의 SELinux 문맥은 사용자에 대해 정의된 매핑 규칙에 따라 자동으로 설정됩니다. 보다 자세한 내용은 http://freeipa.org/page/SELinux_user_mapping에서 참조하십시오. 이러한 기능은 기술 프리뷰로 간주되고 있습니다. BZ#803821
SSH는 인증을 위해 여러가지 방법을 요구하도록 설정할 수 있습니다. (이전에는 SSH는 인증을 위해 여러가지 방법을 허용했지만 하나만이 성공적으로 로그인하기 위해 필요했습니다); 예를 들어, SSH가 활성화된 시스템에 로그인하려면 암호와 공개키 모두가 필요했습니다. RequiredAuthentications1 및 RequiredAuthentications2 옵션을 /etc/ssh/sshd_config 파일에서 설정하여 성공적으로 로그인하기 위해 필요한 인증을 지정할 수 있습니다. 예:
~]# echo "RequiredAuthentications2 publickey,password" >> /etc/ssh/sshd_config
Red Hat Enterprise Linux 6.3에서 SSSD에는 자동 마운트 맵 캐싱을 위한 지원이라는 새로운 기술 프리뷰 기능이 포함되어 있습니다. 이 기능은 autofs와 함께 작동하는 환경에 여러가지 장점을 제공합니다:
- 캐시된 자동 마운트 맵은 클라이언트 컴퓨터가 NFS 서버에 연결할 수 있지만 LDAP 서버에 연결할 수 없을 때에도 마운트 작업을 쉽게 실행할 수 있게 합니다.
autofs데몬이 SSSD를 통해 자동 마운트 맵을 검색하도록 설정되어 있는 경우 단일 파일만을 설정하면 됩니다:/etc/sssd/sssd.conf.이전에는 autofs 데이터를 가져오도록/etc/sysconfig/autofs파일을 설정해야 했습니다.- 자동 마운트 맵을 캐싱하면 클라이언트의 성능 속도를 향상시키고 LDAP 서버에서의 트래픽을 감소시킵니다. BZ#761570
SSSD는 /etc/sssd/sssd.conf 파일에서 debug_level 옵션의 동작을 변경했습니다. 이전에는 [sssd] 설정에서 debug_level 옵션을 설정할 수 있고 그 결과 명시적으로 덮어쓰기하지 않는 한 이는 다른 설정 섹션의 기본 설정이 되었습니다.
[sssd] 섹션에서 기본값을 검색하는 대신 내부 디버그 로깅 기능에 여러 변경 사항은 debug_level 옵션이 항상 설정 파일의 각 섹션에서 독립적으로 지정할 수 있어야 했습니다.
~]# python /usr/lib/python2.6/site-packages/sssd_update_debug_levels.pydebug_level 옵션이 [sssd] 섹션에 지정되어 있는지를 확인합니다. 지정된 경우, debug_level이 지정되지 않은 sssd.conf 파일의 다른 섹션에 동일한 수준 값을 추가합니다. 다른 섹션에 debug_level 옵션이 이미 명시적으로 존재하는 경우 변경 사항이 발생하지 않습니다.
새로운 ldap_chpass_update_last_change 옵션이 SSSD 설정에 추가되었습니다. 이 옵션이 활성화되어 있으면 SSSD는 shadowLastChange LDAP 속성을 현재 시간으로 변경 시도를 합니다. 이는 LDAP 암호 정책이 사용될 때 (일반적으로 LDAP 서버로 처리될 때), 즉 LDAP 확장 동작이 암호를 변경하기 위해 사용되는 경우에만 해당한다는 것에 주의하십시오. 또한 속성은 암호를 변경하는 사용자가 작성해야 하는 것에 주의하십시오. BZ#739312
