10.4. PAM 서비스의 도메인 제한
중요
이 기능을 사용하려면 SSSD가 시스템에서 실행 중이어야 합니다.
SSSD를 사용하면 PAM 서비스에서 액세스할 수 있는 도메인을 제한할 수 있습니다. SSSD는 특정 PAM 서비스가 실행 중인 사용자를 기반으로 PAM 서비스의 인증 요청을 평가합니다. PAM 서비스가 SSSD 도메인에 액세스할 수 있는지 여부는 PAM 서비스 사용자가 도메인에 액세스할 수 있는지 여부에 따라 다릅니다.
예제 사용 사례는 외부 사용자가 FTP 서버에 인증할 수 있는 환경입니다. FTP 서버는 내부 회사 계정과는 별도로 선택한 SSSD 도메인에만 인증할 수 있는 별도의 권한이 없는 사용자로 실행 중입니다. 이 기능을 사용하면 FTP 사용자가 FTP PAM 구성 파일에 지정된 선택된 도메인에만 인증할 수 있습니다.
참고
이 기능은
pam_ldap 와 같은 기존 PAM 모듈과 유사합니다. 이 모듈은 별도의 구성 파일을 PAM 모듈의 매개 변수로 사용할 수 있었습니다.
도메인에 대한 액세스를 제한하는 옵션
다음 옵션을 사용하여 선택한 도메인에 대한 액세스를 제한할 수 있습니다.
pam_trusted_usersin/etc/sssd/sssd.conf- 이 옵션은 SSSD에서 신뢰할 수 있는 PAM 서비스를 나타내는 숫자 UID 또는 사용자 이름 목록을 허용합니다. 기본 설정은
all입니다. 즉, 모든 서비스 사용자가 신뢰할 수 있으며 모든 도메인에 액세스할 수 있습니다. pam_public_domainsin/etc/sssd/sssd.conf- 이 옵션은 공용 SSSD 도메인 목록을 허용합니다. 공용 도메인은 신뢰할 수 없는 PAM 서비스 사용자의 경우에도 액세스할 수 있는 도메인입니다. 옵션에서는
all및none값도 허용합니다. 기본값은none입니다. 즉, 도메인은 공용이 아니며 신뢰할 수 없는 서비스 사용자가 도메인에 액세스할 수 없습니다. - PAM 구성 파일의
도메인 - 이 옵션은 PAM 서비스가 인증할 수 있는 도메인 목록을 지정합니다. 도메인을 지정하지 않고
도메인을사용하는 경우 PAM 서비스는 모든 도메인에 대해 인증할 수 없습니다. 예를 들면 다음과 같습니다.auth required pam_sss.so domains=PAM 구성 파일에서도메인을 사용하지 않는 경우 PAM 서비스는 신뢰할 수 있는 사용자로 서비스가 실행 중인 상태에서 모든 도메인에 대해 인증할 수 있습니다./etc/sssd/sssd.confSSSD 구성 파일의 domain 옵션도 SSSD가 인증을 시도하는 도메인 목록을 지정합니다.PAM 구성 파일의 domain 옵션은sssd.conf의 도메인 목록을 확장할 수 없습니다. 더 짧은 목록을 지정하여 도메인의sssd.conf목록만 제한할 수 있습니다.따라서 도메인이 PAM 파일에 지정되어 있지만sssd.conf에 없는 경우 PAM 서비스는 도메인에 대해 인증할 수 없습니다.
기본 설정
pam_trusted_users = all 및 pam_public_domains = none 은 모든 PAM 서비스 사용자가 신뢰할 수 있으며 모든 도메인에 액세스할 수 있음을 지정합니다. PAM 구성 파일의 domain 옵션은 액세스할 수 있는 도메인을 제한하도록 이 상황에서 사용할 수 있습니다.
sssd.conf 에 pam_public_domains 를 포함하는 동안 PAM 구성 파일의 도메인을 사용하여 도메인을 지정하는 경우 pam_public_domains 에도 도메인을 지정해야 할 수 있습니다. pam_public_domains 가 사용되지만 필요한 도메인을 포함하지 않으면 신뢰할 수 없는 사용자에서 실행되는 경우 PAM 서비스가 도메인에 대해 성공적으로 인증할 수 없습니다.
참고
PAM 구성 파일에 정의된 도메인 제한은 사용자 조회가 아닌 인증 작업에만 적용됩니다.
pam_trusted_users 및 pam_public_domains 옵션에 대한 자세한 내용은 sssd.conf(5) 도움말 페이지를 참조하십시오. PAM 구성 파일에 사용된 도메인 옵션에 대한 자세한 내용은 pam_sss(8) 도움말 페이지를 참조하십시오.
예 10.2. PAM 서비스의 도메인 제한
PAM 서비스가 인증할 수 있는 도메인을 제한하려면 다음을 수행합니다.
- SSSD가 필요한 도메인 또는 도메인에 액세스하도록 구성되어 있는지 확인합니다. SSSD를 인증할 수 있는
도메인은/etc/sssd/sssd.conf파일의 domain 옵션에 정의되어 있습니다.[sssd] domains = domain1, domain2, domain3
- PAM 서비스가 인증할 수 있는 도메인 또는 도메인을 지정합니다. 이렇게 하려면 PAM 구성 파일에서 domain
옵션을설정합니다. 예를 들어 다음과 같습니다.auth sufficient pam_sss.so forward_pass domains=domain1 account [default=bad success=ok user_unknown=ignore] pam_sss.so password sufficient pam_sss.so use_authtok
이제 PAM 서비스는
domain1 에 대해서만 인증할 수 있습니다.
