Red Hat Summit Red Hat Summit지원콘솔개발자평가판 시작연락처

3장. 인증 및 상호 운용성

SSSD 스마트 카드 지원

SSSD에서 로컬 인증을 위한 스마트 카드를 지원합니다. 이 기능을 사용하면 스마트 카드를 사용하여 텍스트 기반 또는 그래픽 콘솔 및 sudo 서비스와 같은 로컬 서비스를 사용하여 시스템에 로그인할 수 있습니다. 사용자는 스마트 카드를 리더에 배치하고 로그인 프롬프트에서 사용자 이름과 스마트 카드 PIN을 제공합니다. 스마트 카드의 인증서가 확인되면 사용자가 성공적으로 인증됩니다.
SSSD는 현재 사용자가 스마트 카드를 사용하여 Kerberos 티켓을 받을 수 없습니다. Kerberos 티켓을 얻으려면 사용자가 kinit 유틸리티를 사용하여 인증해야 합니다.
Red Hat Enterprise Linux 6에서 스마트 카드 지원을 활성화하려면 SSSD에서 /etc/pam.d/password-auth 및 /etc/pam. d/system- auth PAM 구성 파일의 auth 행을 수정하여 암호, 일회성 암호(OTP) 또는 스마트 카드 PIN을 요청하는 메시지를 표시하도록 허용해야 합니다. 자세한 내용은 Identity Management Guide: http://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html-single/Identity_Management_Guide/index.html#idm-smart-cards (BZ#1270027)를 참조하십시오.

SSSD의 캐시 인증

다시 연결 시도가 없는 캐시에 대한 인증은 온라인 모드에서도 SSSD에서 사용할 수 있습니다. 네트워크 서버에 반복적으로 대해 직접 인증하면 과도한 애플리케이션 대기 시간이 발생할 수 있으므로 로그인 프로세스가 시간이 많이 소요될 수 있습니다. (BZ#1237142)

성능 향상을 위해 IdM 서버 호환성 플러그인 트리의 ou=sudoers,$DC 부분을 비활성화할 수 있습니다.

이제 IdM(Identity Management) 클라이언트는 cn= sudo rules, cn=sudo, ou=sudo 대신 IdM 서버의 LDAP 트리의$DC 부분, slapi-nis Directory Server 플러그인에서 생성된 DC 호환성 트리를 검색할 수 있습니다.
레거시 클라이언트 지원과 같이 다른 작업에 호환성 트리가 필요하지 않은 환경에서 사용자는 이제 트리의 ou=sudoers,$DC 부분을 비활성화할 수 있습니다. 이렇게 하면 slapi-nis 를 사용하여 호환성 트리를 생성하는 것이 리소스 집약적이며, 특히 인증 작업이 많은 환경에서 성능이 향상됩니다. (BZ#1244957)

SSSD를 사용하면 개별 클라이언트에서 UID 및 GID 매핑을 사용할 수 있습니다.

이제 sss_override 유틸리티에서 제공하는 SSSD를 사용하여 클라이언트 측 구성을 통해 특정 Red Hat Enterprise Linux 클라이언트의 다른 UID 및 GID에 사용자를 매핑할 수 있습니다. 이 클라이언트 측 덮어쓰기 가능성은 UID 및 GID 중복으로 인한 문제를 해결하거나 이전에 다른 ID 매핑을 사용한 레거시 시스템에서 쉽게 전환할 수 있습니다.
재정의는 SSSD 캐시에 저장됩니다. 캐시를 제거하면 재정의도 제거됩니다. 이 기능에 대한 자세한 내용은 sss_override(8) 도움말 페이지를 참조하십시오. (BZ#1269422)

initgroups 작업 캐싱

SSSD 빠른 메모리 캐시는 initgroups 처리 속도를 개선하고 GlusterFS 및 slapi-nis 와 같은 일부 애플리케이션의 성능을 향상시키는 initgroups 작업을 지원합니다. (BZ#1269421)

새로운 패키지: adcli

이번 업데이트에서는 Red Hat Enterprise Linux 6에 adcli 패키지가 추가되었습니다. adcli 유틸리티를 사용하면 Red Hat Enterprise Linux 6 클라이언트에서 AD(Active Directory)의 호스트, 사용자 및 그룹 오브젝트를 관리할 수 있습니다. 유틸리티의 주요 용도는 호스트를 AD 도메인에 연결하고 호스트의 자격 증명을 갱신하는 것입니다.
adcli 유틸리티는 사이트를 인식하며 AD 도메인에 가입하기 위해 추가 구성이 필요하지 않습니다. adcli 는 SSSD 서비스를 실행하는 클라이언트에서 정기적으로 호스트 자격 증명을 갱신할 수 있습니다. (BZ#1279725)

SSSD가 AD에 가입된 Linux 클라이언트의 호스트 자격 증명을 자동으로 갱신할 수 있음

특정 Windows 유틸리티는 암호가 장기간 업데이트되지 않은 후 AD(Active Directory)에서 호스트를 제거할 수 있습니다. 이는 이러한 유틸리티에서 이러한 클라이언트를 비활성으로 간주하기 때문입니다.
이 기능을 사용하면 AD에 가입한 Linux 클라이언트의 호스트 암호가 정기적으로 업데이트되며, 이는 클라이언트가 여전히 적극적으로 사용되고 있음을 나타냅니다. 결과적으로 AD에 가입한 Red Hat Enterprise Linux 클라이언트는 설명된 상황에서 제거되지 않습니다. (BZ#1290761)

SSSD에서 RID가 큰 환경에서 AD 클라이언트의 ID 범위를 자동으로 조정할 수 있음

SSSD 서비스에 포함된 자동 ID 매핑 메커니즘은 이제 ID 범위 도메인을 병합할 수 있습니다. 이전에는 SSSD에서 할당한 ID 범위의 기본 크기인 AD(Active Directory) 도메인의 상대 ID(RID)가 200,000보다 크면 관리자가 RID에 대응하도록 SSSD에서 할당한 ID 범위를 수동으로 조정해야 했습니다.
이 향상된 기능을 통해 ID 매핑이 활성화된 AD 클라이언트의 경우 SSSD가 설명된 상황에서 ID 범위를 자동으로 조정합니다. 결과적으로 관리자는 더 이상 ID 범위를 수동으로 조정할 필요가 없으며 대규모 AD 환경에서도 기본 SSSD ID 매핑 메커니즘이 작동합니다. (BZ#1268902)

SSSD가 다른 도메인 컨트롤러의 GPO 지원

SSSD(System Security Services Daemon) 서비스가 다른 도메인 컨트롤러의 GPO(그룹 정책 개체)를 지원하도록 업데이트되었습니다. (BZ#1221365)

SSLv2 지원이 비활성화됨

SSLv2는 안전하지 않으며 현재 배포에서 사용해서는 안되므로 재정의 방법 없이 비활성화되었습니다. 모든 최신 브라우저와 프레임워크는 기본 구성에서 SSLv2 연결을 협상할 수 없으며 많은 브라우저와 프레임워크는 SSLv2 협상을 수행하도록 구성할 수 없습니다. 최근 OpenSSL 취약점 (CVE-2015-3197)은 이 코드를 유지하는 것이 법적 책임이 있음을 보여줍니다. 또한 업스트림에서는 이미 SSLv2(MZBZ#1228555)에 대한 지원이 제거되었습니다. (BZ#1304812)

OpenLDAP에서 TLSv1.2 지원

OpenLDAP의 TLS 계층은 TLSv1.2 제품군의 새 암호와 함께 암호 문자열 값 TLSv1.2 를 지원하도록 개선되었습니다. 또한 새로운 암호화 문자열 AESGCM,SHA256, SHA384 가 추가되었습니다. 이번 업데이트를 통해 암호화 문자열 DEFAULT 는 현재 보안 개발을 최신 상태로 유지하기 위해 NSS(Network Security Services) 기본값의 하위 집합을 선택합니다. 암호화 문자열 DEFAULT 는 현재 SSF(Security Strength Factor) 기능을 중단하지 않도록 AESGCM 암호를 제외합니다. (BZ#1300701)

NSS 인증서 지원

기본적으로 NSS 라이브러리는 ECC(Elliptic Curve Cryptography)를 사용하는 TLS 암호화 제품군을 활성화하지 않았습니다. NSS 기본 구성을 변경하지 않은 애플리케이션은 ECDHE와 같이 ECC 키 교환을 지원해야 하는 서버에 연결할 수 없었습니다. 특히 ECDSA 키가 있는 인증서를 사용하는 서버에 연결하지 못했습니다.
이번 업데이트에서는 기본적으로 ECC를 사용할 수 있는 TLS 암호화 제품군을 사용하도록 기본 구성을 변경합니다. 결과적으로 TLS를 통한 통신에 NSS 기본값을 사용하는 애플리케이션은 이제 ECDSA 키가 있는 인증서를 사용하는 서버에 연결할 수 있습니다. (BZ#1059682)

그룹 이름에 대한 새로운 SSSD 기본값

SSSD(System Security Services Daemon)에서 Windows 및 타사 솔루션과 호환되는 새로운 기본 그룹 이름을 사용합니다. 이는 /etc/sssd/sssd.conf 파일에서 id_provider 구성 옵션이 ad 로 설정된 설치에 영향을 미칩니다.
환경에 새 기본값 sAMAccountName 과 달리 그룹 name 속성에 다른 값이 필요한 경우 수동 구성 변경이 필요합니다. 예를 들어 그룹에 사용자와 동일한 이름을 제공할 때 이 작업이 필요할 수 있습니다. 이전 동작으로 되돌리려면 cn 을 속성 값으로 설정합니다.
1. /etc/sssd/sssd.conf 파일에서 ldap_group_name = cn 을 설정합니다.
2. 다음 명령을 실행하여 SSSD 캐시를 지웁니다.
Copy to Clipboard Toggle word wrap 
# service sssd stop
# find /var/lib/sss/ ! -type d | xargs rm -f
# service sssd start
(BZ#1342458)
맨 위로 이동
Red Hat logoGithubredditYoutubeTwitter

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

Red Hat을 사용하는 고객은 신뢰할 수 있는 콘텐츠가 포함된 제품과 서비스를 통해 혁신하고 목표를 달성할 수 있습니다. 최신 업데이트를 확인하세요.

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat은 코드, 문서, 웹 속성에서 문제가 있는 언어를 교체하기 위해 최선을 다하고 있습니다. 자세한 내용은 다음을 참조하세요.Red Hat 블로그.

Red Hat 소개

Red Hat은 기업이 핵심 데이터 센터에서 네트워크 에지에 이르기까지 플랫폼과 환경 전반에서 더 쉽게 작업할 수 있도록 강화된 솔루션을 제공합니다.

Theme

© 2025 Red Hat, Inc.