2.2.2. SSSD의 공급자로 ID 매핑을 사용하여 AD 도메인 구성
사전 요구 사항
AD 시스템과 Linux 시스템이 모두 올바르게 구성되어 있는지 확인합니다.
- 이름 확인을 위한 구성을 확인합니다. 특히 DNS SRV 레코드를 확인합니다. 예를 들어 이름이
ad.example.com인 도메인의 경우:- DNS SRV LDAP 레코드를 확인하려면 다음을 수행합니다.
# dig -t SRV _ldap._tcp.ad.example.com
- AD 레코드를 확인하려면 다음을 수행합니다.
# dig -t SRV _ldap._tcp.dc._msdcs.ad.example.com
나중에 SSSD를 특정 AD 도메인 컨트롤러에 연결하는 경우 DNS SRV 레코드를 확인할 필요가 없습니다. - 두 시스템의 시스템 시간이 동기화되었는지 확인합니다. 이렇게 하면 Kerberos가 제대로 작동할 수 있습니다.
- AD 도메인 컨트롤러에서 다음 포트가 열려 있고 RHEL 호스트에서 액세스할 수 있는지 확인합니다.
표 2.1. SSSD를 사용하여 AD로 Linux 시스템의 직접 통합에 필요한 포트 Service 포트 프로토콜 참고 DNS 53 UDP 및 TCP LDAP 389 UDP 및 TCP Kerberos 88 UDP 및 TCP Kerberos 464 UDP 및 TCP kadmin에서 암호 설정 및 변경에 사용 LDAP 글로벌 카탈로그 3268 TCP id_provider = ad옵션이 사용 중인 경우NTP 123 UDP 선택 사항 Samba 445 UDP 및 TCP AD Group Policy Objects(GPO)의 경우
로컬 시스템 구성
Red Hat은 realm join 명령을 사용하여 시스템을 구성하는 것이 좋습니다. 3장.
realmd 를 사용하여 Active Directory 도메인에 연결을 참조하십시오. realmd Suite는 필요한 모든 구성 파일을 자동으로 편집합니다. 예를 들면 다음과 같습니다.
# realm join ad.example.com
realmd 를 사용하지 않으려면 시스템을 수동으로 구성할 수 있습니다. Red Hat Kernel;Hat Knowledgebase의 Active Directory 도메인에 SSSD 클라이언트 수동 연결을 참조하십시오.
선택 사항: 사용자 홈 디렉터리 및 쉘 구성
사용자가 Linux 시스템에 처음 로그인하면
pam_oddjob_mkhomedir.so 라이브러리에서 홈 디렉터리를 자동으로 생성합니다. 기본적으로 SSSD는 AD ID 공급자에서 홈 디렉터리의 형식을 검색합니다. Linux 클라이언트에서 디렉터리 형식을 사용자 지정하려면 다음을 수행합니다.
/etc/sssd/sssd.conf파일을 엽니다.[domain]섹션에서 다음 옵션 중 하나를 사용합니다.fallback_homedir은 홈 디렉터리가 AD에 정의되어 있지 않은 경우에만 사용되는 대체 홈 디렉터리 형식을 설정합니다.override_homedir은 홈 디렉터리 템플릿을 설정하며, 이 템플릿은 항상 AD에 정의된 홈 디렉터리를 덮어씁니다.
예를 들어/home/domain_name/user_name형식을 항상 사용하려면 다음을 실행합니다.[domain/EXAMPLE] [... file truncated ...]
override_homedir = /home/%d/%u자세한 내용은 sssd.conf(5) 도움말 페이지를 참조하십시오.
기본적으로 SSSD는 AD에 구성된
loginShell 매개 변수에서 사용자 쉘에 대한 정보를 검색합니다. Linux 클라이언트에서 사용자 쉘 설정을 사용자 지정하려면 다음을 수행합니다.
/etc/sssd/sssd.conf파일을 엽니다.- 다음 옵션을 사용하여 필요한 사용자 쉘 설정을 정의합니다.
shell_fallback은 대체 값을 설정합니다. 이 값은 AD에 쉘이 정의되지 않은 경우에만 사용됩니다.override_shell은 항상 AD에 정의된 쉘을 재정의하는 값을 설정합니다.default_shell은 기본 쉘 값을 설정allowed_shells및vetoed_shellsset lists of allowed or blacklisted shells
자세한 내용은 sssd.conf(5) 도움말 페이지를 참조하십시오.
새 설정 로드
- 설정 파일을 변경한 후 SSSD를 다시 시작합니다.
# systemctl restart sssd.service
추가 리소스
- LDAP 및 Kerberos 공급자에 대한 기타 구성 옵션은 sssd-ldap(5) 및 sssd-krb5(5) 도움말 페이지를 참조하십시오.
- AD 공급자의 기타 구성 옵션은 sssd-ad(5) 도움말 페이지를 참조하십시오.
