5.3.4. 신뢰 유지 관리
신뢰 관리에는 글로벌 신뢰 구성, Kerberos 신뢰 구성, DNS 영역 구성 또는 Active Directory 사용자에 대한 ID 범위 할당과 같은 여러 영역이 포함됩니다.
5.3.4.1. 글로벌 신뢰 구성 편집
ipa-adtrust-install 유틸리티는 IdM 도메인에 대한 백그라운드 정보를 자동으로 구성합니다. 이 정보는 ActiveActive Directory qcow;Directory 도메인을 사용하여 신뢰를 생성하는 데 필요합니다.
글로벌 신뢰 구성에는 다음 5가지 속성이 포함되어 있습니다.
- Windows 스타일의 보안 ID(SID): 이 특성은 자동 생성되므로 수정할 수 없습니다.
- 도메인 GUID; 이 속성은 자동으로 생성되었으며 수정할 수 없습니다.
- Kerberos 도메인 이름. 이 속성은 IdM 구성에서 제공되며 수정할 수 없습니다.
- IdM 사용자를 추가할 기본 그룹; 이 속성을 수정할 수 있습니다.
- mirror name; 이 특성을 수정하지 않는 것이 좋습니다.
신뢰 구성은
cn=도메인,cn=ad,cn=etc,dc=example,dc=com 하위 트리에 저장됩니다.
5.3.4.1.1. ResourceOverride 이름 변경
중요
대부분의 경우ResourceOverride 이름을 변경하려면 기존 모든 신뢰를 다시 설정해야 합니다. 따라서 Red Hat은 특성을 변경하지 않는 것이 좋습니다.
ipa-adtrust-install 유틸리티를 실행할 때 Active Directory 토폴로지에서 compatible within an Active Directory topology is configured for the IdM server when running the
ipa-adtrust-install 유틸리티를 실행합니다. 나중에 변경하려면 ipa-adtrust-install 을 다시 실행하고 --netbios-name 옵션을 사용하여 새 redfish 이름을 지정합니다.
[root@ipaserver ]# ipa-adtrust-install --netbios-name=NEWBIOSNAME
5.3.4.1.2. Windows 사용자의 기본 그룹 변경
Identity Management가 Active Directory 마이그레이드를 신뢰하도록 구성되면 IdM 사용자의 Kerberos 티켓에 MS-PAC 레코드가 추가됩니다. MS-PAC 레코드에는 IdM 사용자가 속한 그룹의 SID(보안 식별자)가 포함되어 있습니다. IdM 사용자의 기본 그룹에 6.7이 할당되지 않은 경우 기본 SMB 그룹에 대해 정의된 보안 식별자의 값이 사용됩니다. AD 도메인 컨트롤러에서 IdM 신뢰 컨트롤러에서 사용자 정보를 요청할 때 Samba 제품군에서 동일한 논리를 적용합니다.
기본 SMB 그룹은
ipa-adtrust-install 유틸리티에서 자동으로 생성된 대체 그룹입니다. 기본 그룹은 삭제할 수 없지만 글로벌 신뢰 구성을 사용하여 IdM 사용자 기본 그룹의 폴백으로 사용할 다른 IdM 그룹을 지정할 수 있습니다.
명령줄에서 기본 그룹을 설정하려면 ipa trustconfig-mod 명령을 사용합니다.
[root@server ~]# kinit admin [root@server ~]# ipa trustconfig-mod --fallback-primary-group="Example Windows Group"
IdM 웹 UI에서 기본 그룹을 설정하려면 다음을 수행합니다.
- IdM 웹 UI를 엽니다.
https://ipaserver.example.com
- IPA 서버 메인 탭에서 보안 하위 탭을 선택한 다음 글로벌 구성 섹션을 엽니다.
- 새 그룹을 선택합니다.
그림 5.6. Windows 사용자의 기본 그룹 구성
- 클릭하여 새 구성을 저장합니다.
