112.3. IdM에서 새 도메인을 신뢰하는 경우 수동으로 ID 매핑 구성 추가
Samba에는 사용자가 리소스에 액세스하는 각 도메인에 대한 ID 매핑 구성이 필요합니다. IdM 클라이언트에서 실행되는 기존 Samba 서버의 경우 관리자가 새 신뢰성을 AD(Active Directory) 도메인에 추가한 후 수동으로 ID 매핑 구성을 추가해야 합니다.
사전 요구 사항
- IdM 클라이언트에 Samba를 구성했습니다. 이후 IdM에 새로운 신뢰가 추가되었습니다.
- Kerberos의 DES 및 RC4 암호화 유형은 신뢰할 수 있는 AD 도메인에서 비활성화해야 합니다. 보안상의 이유로 RHEL 8은 이러한 약한 암호화 유형을 지원하지 않습니다.
절차
호스트의 keytab을 사용하여 인증합니다.
[root@idm_client]# kinit -kipa idrange-find명령을 사용하여 새 도메인의 기본 ID 및 ID 범위 크기를 둘 다 표시합니다. 예를 들어 다음 명령은ad.example.com 도메인의 값을 표시합니다.[root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw --------------- 1 range matched --------------- cn: AD.EXAMPLE.COM_id_range ipabaseid: 1918400000 ipaidrangesize: 200000 ipabaserid: 0 ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271 iparangetype: ipa-ad-trust ---------------------------- Number of entries returned 1 ----------------------------
다음 단계의
ipabaseid및ipaidrangesize속성의 값이 필요합니다.사용 가능한 가장 높은 ID를 계산하려면 다음 공식을 사용하십시오.
maximum_range = ipabaseid + ipaidrangesize - 1
이전 단계의 값을 사용할 때
ad.example.com도메인에 사용할 수 있는 가장 높은 ID는1918599999(1918400000 + 200000 - 1)입니다./etc/samba/smb.conf파일을 편집하고 도메인의 ID 매핑 구성을[global]섹션에 추가합니다.idmap config AD : range = 1918400000 - 1918599999 idmap config AD : backend = sss
ipabaseid특성의 값을 가장 낮은 값으로 지정하고 이전 단계의 계산된 값을 가장 높은 범위 값으로 지정합니다.smb및winbind서비스를 다시 시작하십시오.[root@idm_client]# systemctl restart smb winbind
검증 단계
Kerberos 인증을 사용하여 Samba 서버의 공유를 나열합니다.
$
smbclient -L idm_client.idm.example.com -U user_name --use-kerberos=requiredlp_load_ex: changing to config backend registry Sharename Type Comment --------- ---- ------- example Disk IPC$ IPC IPC Service (Samba 4.15.2) ...
