7.3. SSSD의 ID 및 인증 공급자 구성

7.3.1. SSSD의 ID 및 인증 공급자 소개

SSSD 도메인. ID 및 인증 공급자

ID 및 인증 프로바이더는 SSSD 구성 파일의 도메인으로 구성됩니다. 단일 도메인을 다음과 같이 사용할 수 있습니다.

ID 공급자 (사용자 정보용)
인증 공급자 (인증 요청용)
액세스 제어 공급자 (허용 요청용)
이러한 공급자의 조합 (모든 해당 작업이 단일 서버 내에서 수행되는 경우)

SSSD에 대해 여러 도메인을 구성할 수 있습니다. 하나 이상의 도메인을 구성해야 합니다. 그렇지 않으면 SSSD가 시작되지 않습니다.

/etc/sssd/sssd.conf 파일의 access_provider 옵션은 도메인에 사용되는 액세스 제어 공급자를 설정합니다. 기본적으로 옵션은 항상 모든 액세스를 허용하는 용으로 설정됩니다. 자세한 내용은 sssd.conf(5) 도움말 페이지를 참조하십시오.

프록시 공급자

프록시 공급자는 SSSD와 SSSD에서 사용할 수 없는 리소스 간의 중간 릴레이 역할을 합니다. 프록시 공급자를 사용하는 경우 SSSD는 프록시 서비스에 연결하고 프록시는 지정된 라이브러리를 로드합니다.

프록시 공급자를 사용하여 다음을 사용하도록 SSSD를 구성할 수 있습니다.

지문 스캐너와 같은 대체 인증 방법
NIS와 같은 레거시 시스템
/etc/passwd 및 원격 인증에 정의된 로컬 시스템 계정

ID 및 인증 공급자의 사용 가능한 조합

표 7.1. ID 및 인증 공급자의 사용 가능한 조합
ID 공급자	인증 공급자
IdM (Identity Management) ^[a]	Identity Management ^[a]
Active Directory ^[a]	Active Directory ^[a]
LDAP	LDAP
LDAP	Kerberos
proxy	proxy
proxy	LDAP
proxy	Kerberos
^[a] LDAP 프로바이더 유형의 확장입니다.

이 가이드에서는 모든 프로바이더 유형을 설명하지는 않습니다. 자세한 내용은 다음 추가 리소스를 참조하십시오.

Identity Management를 위해 SSSD 클라이언트를 구성하려면 ipa-client-install 유틸리티를 사용하는 것이 좋습니다. Linux 도메인 ID, 인증 및 정책 가이드에서 ID 관리 클라이언트 설치 및 제거를 참조하십시오.
ipa-client-install 없이 수동으로 Identity Management용 SSSD 클라이언트를 구성하려면 Red Hat 지식 베이스에서 수동으로 Identity Management 클라이언트 설치 및 설치 제거를 참조하십시오.
SSSD와 함께 사용할 Active Directory 를 구성하려면 Windows 통합 가이드에서 Active Directory를 SSSD의 ID 공급자로 사용을 참조하십시오.

7.3.2. SSSD의 LDAP 도메인 구성

사전 요구 사항

SSSD 설치.
```
# yum install sssd
```

LDAP 도메인을 검색하도록 SSSD 설정

/etc/sssd/sssd.conf 파일을 엽니다.
LDAP 도메인에 대한 [domain] 섹션을 생성합니다.
```
[domain/LDAP_domain_name]
```
LDAP 서버를 ID 공급자, 인증 공급자 또는 둘 다로 사용하려는 경우 를 지정합니다.
1. LDAP 서버를 ID 공급자로 사용하려면 id_provider 옵션을 ldap 로 설정합니다.
2. LDAP 서버를 인증 공급자로 사용하려면 auth_provider 옵션을 ldap 로 설정합니다.
예를 들어 LDAP 서버를 둘 다 사용하려면 다음을 수행합니다.
```
[domain/LDAP_domain_name]
id_provider = ldap
auth_provider = ldap
```
LDAP 서버를 지정합니다. 다음 중 하나를 선택합니다.
1. 서버를 명시적으로 정의하려면 ldap_uri 옵션을 사용하여 서버의 URI를 지정합니다.
```
[domain/LDAP_domain_name]
id_provider = ldap
auth_provider = ldap

ldap_uri = ldap://ldap.example.com
```
  ldap_uri 옵션은 서버의 IP 주소도 허용합니다. 그러나 서버 이름 대신 IP 주소를 사용하면 TLS/SSL 연결이 실패할 수 있습니다. Red Hat Knowledgebase의 인증서 주체 이름에서 IP 주소를 사용하도록 SSSD 공급자 구성을 참조하십시오.
2. DNS 서비스 검색을 사용하여 서버를 동적으로 검색하도록 SSSD를 구성하려면 7.4.3절. “DNS 서비스 검색 구성” 을 참조하십시오.
선택적으로 ldap_backup_uri 옵션에 백업 서버를 지정합니다.

ldap_search_base 옵션에 LDAP 서버의 검색 기반을 지정합니다.

[domain/LDAP_domain_name]
id_provider = ldap
auth_provider = ldap

ldap_uri = ldap://ldap.example.com
ldap_search_base = dc=example,dc=com

LDAP 서버에 대한 보안 연결을 설정하는 방법을 지정합니다. 권장되는 방법은 TLS 연결을 사용하는 것입니다. 이렇게 하려면 ldap_id_use_start_tls 옵션을 활성화하고 이러한 CA 인증서 관련 옵션을 사용합니다.
- ldap_tls_reqcert 는 클라이언트가 서버 인증서를 요청하는지 및 인증서에서 수행되는 검사를 지정합니다.
- ldap_tls_cacert 는 인증서가 포함된 파일을 지정합니다.
```
[domain/LDAP_domain_name]
id_provider = ldap
auth_provider = ldap

ldap_uri = ldap://ldap.example.com
ldap_search_base = dc=example,dc=com

ldap_id_use_start_tls = true
ldap_tls_reqcert = demand
ldap_tls_cacert = /etc/pki/tls/certs/ca-bundle.crt
```
참고
SSSD는 항상 암호화된 채널을 인증을 위해 사용하므로 암호가 암호화되지 않은 네트워크를 통해 전송되지 않습니다. ldap_id_use_start_tls = true 에서는 ID 조회(예: id 또는 getent 유틸리티를 기반으로 하는 명령)도 암호화됩니다.
[sssd] 섹션의 domain 옵션에 새 도메인을 추가합니다. 옵션은 SSSD에서 쿼리하는 도메인을 나열합니다. 예를 들어 다음과 같습니다.
```
domains = LDAP_domain_name, domain2
```

추가 리소스

위 절차에서는 LDAP 프로바이더에 대한 기본 옵션을 보여줍니다. 자세한 내용은 다음을 참조하십시오.

sssd.conf(5) 도움말 페이지: 모든 유형의 도메인에 사용 가능한 글로벌 옵션을 설명합니다.
LDAP와 관련된 옵션을 설명하는 sssd-ldap(5) 도움말 페이지

7.3.3. SSSD의 파일 공급자 구성

파일 공급자는 SSSD를 통해 이러한 파일에서 사용자와 그룹을 사용할 수 있도록 /etc/passwd 및 /etc/groups 파일의 콘텐츠를 미러링합니다. 이를 통해 /etc/nsswitch.conf 파일에서 사용자 및 그룹의 첫 번째 소스로 sss 데이터베이스를 설정할 수 있습니다.

passwd:     sss files
group:      sss files

이 설정을 통해 파일 공급자가 /etc/sssd/sssd.conf 에 구성된 경우 Red Hat Enterprise Linux는 사용자 및 그룹에 대한 모든 쿼리를 먼저 SSSD로 보냅니다. SSSD가 실행 중이 아니거나 SSSD가 요청된 항목을 찾을 수 없는 경우 시스템은 로컬 파일에서 사용자와 그룹을 찾을 수 없습니다. LDAP 디렉터리와 같은 중앙 데이터베이스에 대부분의 사용자와 그룹을 저장하는 경우 이 설정은 사용자 및 그룹 조회의 속도를 높입니다.

사전 요구 사항

SSSD 설치.
```
# yum install sssd
```

파일 도메인을 검색하도록 SSSD 구성

/etc/sssd/sssd.conf 파일에 다음 섹션을 추가합니다.
```
[domain/files]
id_provider = files
```
선택적으로 /etc/sssd/sssd.conf 파일에서 사용자 및 그룹 조회의 첫 번째 소스로 sss 데이터베이스를 설정합니다.
```
passwd:     sss files
group:      sss files
```
시스템이 부팅될 때 sssd 서비스가 시작되는 방식으로 시스템을 구성합니다.
```
# systemctl enable sssd
```
sssd 서비스를 다시 시작합니다.
```
# systemctl restart sssd
```

추가 리소스

위의 절차에서는 파일 공급자에 대한 기본 옵션을 보여줍니다. 자세한 내용은 다음을 참조하십시오.

sssd.conf(5) 도움말 페이지: 모든 유형의 도메인에 사용 가능한 글로벌 옵션을 설명합니다.
파일 공급자와 관련된 옵션을 설명하는 sssd-files(5) 도움말 페이지

7.3.4. SSSD용 프록시 공급자 구성

사전 요구 사항

SSSD 설치.
```
# yum install sssd
```

프록시 도메인을 검색하도록 SSSD 구성

/etc/sssd/sssd.conf 파일을 엽니다.
프록시 공급자에 대한 [domain] 섹션을 생성합니다.
```
[domain/proxy_name]
```
인증 공급자를 지정하려면 다음을 수행합니다.
1. auth_provider 옵션을 proxy 로 설정합니다.
2. proxy_pam_target 옵션을 사용하여 PAM 서비스를 인증 프록시로 지정합니다.
예를 들어 다음과 같습니다.
```
[domain/proxy_name]
auth_provider = proxy
proxy_pam_target = sssdpamproxy
```
중요
프록시 PAM 스택에 pam_sss.so 가 재귀적으로 포함되지 않는지 확인합니다.
ID 공급자를 지정하려면 다음을 수행합니다.
1. id_provider 옵션을 proxy 로 설정합니다.
2. proxy_lib_name 옵션을 사용하여 NSS 라이브러리를 ID 프록시로 지정합니다.
예를 들어 다음과 같습니다.
```
[domain/proxy_name]
id_provider = proxy
proxy_lib_name = nis
```
[sssd] 섹션의 domain 옵션에 새 도메인을 추가합니다. 옵션은 SSSD에서 쿼리하는 도메인을 나열합니다. 예를 들어 다음과 같습니다.
```
domains = proxy_name, domain2
```

추가 리소스

위 절차에서는 프록시 프로바이더에 대한 기본 옵션을 보여줍니다. 자세한 내용은 모든 유형의 도메인 및 기타 프록시 관련 옵션에 사용할 수 있는 글로벌 옵션을 설명하는 sssd.conf(5) 도움말 페이지를 참조하십시오.

7.3.5. Kerberos 인증 공급자 구성

사전 요구 사항

SSSD 설치.
```
# yum install sssd
```

Kerberos 도메인을 검색하도록 SSSD 구성

/etc/sssd/sssd.conf 파일을 엽니다.
SSSD 도메인의 [domain] 섹션을 생성합니다.
```
[domain/Kerberos_domain_name]
```
ID 공급자를 지정합니다. 예를 들어 LDAP ID 공급자 구성에 대한 자세한 내용은 7.3.2절. “SSSD의 LDAP 도메인 구성” 을 참조하십시오.
지정된 ID 프로바이더에서 Kerberos 주체 이름을 사용할 수 없는 경우 SSSD는 username@REALM 형식을 사용하여 주체를 구성합니다.
Kerberos 인증 공급자 세부 정보를 지정합니다.
1. auth_provider 옵션을 krb5 로 설정합니다.
```
[domain/Kerberos_domain_name]
id_provider = ldap
auth_provider = krb5
```
2. Kerberos 서버를 지정합니다.
  1. 서버를 명시적으로 정의하려면 krb5_server 옵션을 사용합니다. 옵션은 서버의 호스트 이름 또는 IP 주소를 허용합니다.
```
[domain/Kerberos_domain_name]
id_provider = ldap
auth_provider = krb5

krb5_server = kdc.example.com
```
  2. DNS 서비스 검색을 사용하여 서버를 동적으로 검색하도록 SSSD를 구성하려면 7.4.3절. “DNS 서비스 검색 구성” 을 참조하십시오.
  선택적으로 krb5_backup_server 옵션에 백업 서버를 지정합니다.
3. 암호 변경 서비스가 krb5_server 또는 krb5_backup_server 에 지정된 KDC에서 실행되지 않는 경우 krb5_passwd 옵션을 사용하여 서비스가 실행 중인 서버를 지정합니다.
```
[domain/Kerberos_domain_name]
id_provider = ldap
auth_provider = krb5

krb5_server = kdc.example.com
krb5_backup_server = kerberos.example.com
krb5_passwd = kerberos.admin.example.com
```
  krb5_passwd 를 사용하지 않는 경우 SSSD는 krb5_server 또는 krb5_backup_server 에 지정된 KDC를 사용합니다.
4. krb5_realm 옵션을 사용하여 Kerberos 영역의 이름을 지정합니다.
```
[domain/Kerberos_domain_name]
id_provider = ldap
auth_provider = krb5

krb5_server = kerberos.example.com
krb5_backup_server = kerberos2.example.com
krb5_passwd = kerberos.admin.example.com
krb5_realm = EXAMPLE.COM
```
[sssd] 섹션의 domain 옵션에 새 도메인을 추가합니다. 옵션은 SSSD에서 쿼리하는 도메인을 나열합니다. 예를 들어 다음과 같습니다.
```
domains = Kerberos_domain_name, domain2
```

추가 리소스

위의 절차에서는 Kerberos 프로바이더의 기본 옵션을 보여줍니다. 자세한 내용은 다음을 참조하십시오.

sssd.conf(5) 도움말 페이지: 모든 유형의 도메인에 사용 가능한 글로벌 옵션을 설명합니다.
Kerberos와 관련된 옵션을 설명하는 sssd-krb5(5) 도움말 페이지

7.3. SSSD의 ID 및 인증 공급자 구성

7.3.1. SSSD의 ID 및 인증 공급자 소개

SSSD 도메인. ID 및 인증 공급자

프록시 공급자

ID 및 인증 공급자의 사용 가능한 조합

7.3.2. SSSD의 LDAP 도메인 구성

사전 요구 사항

LDAP 도메인을 검색하도록 SSSD 설정

추가 리소스

7.3.3. SSSD의 파일 공급자 구성

사전 요구 사항

파일 도메인을 검색하도록 SSSD 구성

추가 리소스

7.3.4. SSSD용 프록시 공급자 구성

사전 요구 사항

프록시 도메인을 검색하도록 SSSD 구성

추가 리소스

7.3.5. Kerberos 인증 공급자 구성

사전 요구 사항

Kerberos 도메인을 검색하도록 SSSD 구성

추가 리소스

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat 소개

Red Hat legal and privacy links

Red Hat legal and privacy links