11.12. IdM (Identity Management)

인쇄 서버로 Samba를 실행하고 RHEL 8.4 및 이전 버전에서 업데이트할 때 필요한 작업

이번 업데이트를 통해 samba 패키지에서 더 이상 /var/spool/ECDHE/ 디렉터리를 생성하지 않습니다. Samba를 출력 서버로 사용하고 [ECDHEs] 공유에서 /var/spool/ ECDHE/를 사용하여 출력 작업을 스풀하는 경우 SELinux는 Samba 사용자가 이 디렉터리에 파일을 생성하지 못하도록 합니다. 결과적으로 출력 작업이 실패하고 auditd 서비스에서 /var/log/audit/audit.log 에 거부된 메시지를 기록합니다. 8.4 및 이전 버전에서 시스템을 업데이트한 후 이 문제를 방지하려면 다음을 수행합니다.

agent-uid pkidbuser 옵션과 함께 cert- fix 유틸리티를 사용하면 인증서 시스템이 중단됩니다.

agent-uid pkidbuser 옵션과 함께 cert- fix 유틸리티를 사용하면 인증서 시스템의 LDAP 구성이 손상됩니다. 결과적으로 인증서 시스템이 불안정해질 수 있으며 시스템을 복구하려면 수동 단계가 필요합니다.

FIPS 모드는 공유 보안 사용을 지원하지 않습니다.

NTLMSSP 인증이 FIPS 호환이 아니기 때문에 공유 보안을 사용하여 포리스트 간 신뢰를 설정하는 것은 FIPS 모드에서 실패합니다. 이 문제를 해결하려면 FIPS 모드가 활성화된 IdM 도메인과 AD 도메인 간에 신뢰를 설정할 때 AD(Active Directory) 관리 계정으로 인증합니다.

버전 1.2.2로 리베이스된 후 authselect 다운그레이드

authselect 패키지는 최신 업스트림 버전 1.2.2 로 다시 작성되었습니다. authselect 다운그레이드가 지원되지 않으며 루트 를 포함한 모든 사용자에 대한 시스템 인증을 중단할 수 있습니다.

AD 교차 영역 TGS 요청으로 IdM이 실패

IdM Kerberos 티켓의 PAM(Privilege Properties Certificate) 정보는 이제 AD(Active Directory)에서 지원하지 않는 AES SHA-2 HMAC 암호화로 서명됩니다.

ldap_id_use_start_tls 옵션에 기본값을 사용할 때 발생할 수 있는 위험

TLS없이 ldap:// 를 ID 조회에 사용하는 경우 공격 벡터가 발생할 위험이 있습니다. 특히 MITM(Man-in-the-middle) 공격으로 공격자는 LDAP 검색에 반환된 오브젝트의 UID 또는 GID를 변경하여 사용자를 가장할 수 있습니다.

NSS에서 활성화된 암호의 default 키워드가 다른 암호와 함께 작동하지 않음

Directory Server에서는 default 키워드를 사용하여 NSS(네트워크 보안 서비스)에서 활성화된 기본 암호를 참조할 수 있습니다. 그러나 명령줄 또는 웹 콘솔을 사용하여 기본 암호와 추가 암호를 활성화하려면 Directory Server에서 default 키워드를 확인하지 못합니다. 결과적으로 서버는 추가로 지정된 암호화 방식만 활성화하고 다음과 유사한 오류를 기록합니다.

RHEL 8.6에서 RHEL 8.7 이상으로 pki-core-debuginfo 업데이트 실패

pki-core-debuginfo 패키지를 RHEL 8.6에서 RHEL 8.7 이상으로 업데이트하면 실패합니다. 이 문제를 해결하려면 다음 명령을 실행합니다.

레지스트리가 일치하지 않아 마이그레이션된 IdM 사용자가 로그인할 수 없습니다.

ipa migrate-ds 스크립트를 사용하여 한 IdM 배포에서 다른 IdM 배포로 사용자를 마이그레이션하는 경우 이전에 기존의 SID(Security Identifiers)에 현재 IdM 환경의 domainknative가 없기 때문에 IdM 서비스를 사용하는 데 문제가 있을 수 있습니다. 예를 들어 사용자는 kinit 유틸리티를 사용하여 Kerberos 티켓을 검색할 수 있지만 로그인할 수는 없습니다. 이 문제를 해결하려면 다음 지식 베이스 문서를 참조하십시오. 도메인이 일치하지 않아서 로그인할 수 없는 IdM 사용자는 다음 지식 베이스 문서를 참조하십시오.

FIPS 모드에서 IdM은 양방향 교차 트러스트를 구축하기 위해 NTLMSSP 프로토콜 사용을 지원하지 않습니다.

New Technology LAN Manager Security Support Provider(NTLMSSP) 인증이 FIPS와 호환되지 않기 때문에 AD(Active Directory)와 FIPS 모드가 활성화된 IdM(Identity Management) 간 신뢰를 두방향으로 설정할 수 없습니다. FIPS 모드에서 IdM은 AD 도메인 컨트롤러가 인증을 시도할 때 사용하는 RC4 NTLM 해시를 허용하지 않습니다.

FIPS 모드에서 IdM Vault 암호화 및 암호 해독 실패

FIPS 모드가 활성화된 경우 OpenSSL RSA-PKCS1v15 패딩 암호화가 차단됩니다. 결과적으로 IdM(Identity Management) Vault는 현재 전송 인증서로 세션 키를 래핑하기 위해 PKCS1v15 패딩을 사용하므로 올바르게 작동하지 않습니다.

Kerberos 사용자의 만료 날짜를 설정할 때 잘못된 경고

Kerberos 사용자의 암호 만료 날짜를 설정하면 현재 타임스탬프가 32비트 서명된 정수 변수를 사용하여 만료 타임스탬프와 비교됩니다. 만료 날짜가 향후 68년 이상이면 정수 변수 오버플로가 발생하여 다음과 같은 경고 메시지가 표시됩니다.