4.2. LDAP를 사용하도록 SSSD 구성 및 TLS 인증 필요

절차

1. 필수 패키지를 설치합니다.

   # dnf -y install openldap-clients sssd sssd-ldap oddjob-mkhomedir

   Copy to Clipboard

2. 인증 공급자를 sssd 로 전환 :

   # authselect select sssd with-mkhomedir

   Copy to Clipboard

3. OpenLDAP 서버의 SSL/TLS 인증서를 발급한 인증 기관에서 루트 CA 서명 인증서 체인이 포함된 core-dirsrv.ca.pem 파일을 /etc/openldap/certs 폴더에 복사합니다.

   # cp core-dirsrv.ca.pem /etc/openldap/certs

   Copy to Clipboard

4. LDAP 서버의 URL 및 접미사를 /etc/openldap/ldap.conf 파일에 추가합니다.

   URI ldap://ldap-server.example.com/
   BASE dc=example,dc=com

   Copy to Clipboard

5. /etc/openldap/ldap.conf 파일에서 TLS_CACERT 매개 변수를 /etc/openldap/certs/core-dirsrv.ca.pem에 가리키는 행을 추가합니다.

   # When no CA certificates are specified the Shared System Certificates
   # are in use. In order to have these available along with the ones specified
   # by TLS_CACERTDIR one has to include them explicitly:
   TLS_CACERT /etc/openldap/certs/core-dirsrv.ca.pem

   Copy to Clipboard

6. /etc/sssd/sssd.conf 파일에서 ldap_uri 및 ldap_search_base 매개변수에 환경 값을 추가하고 ldap_id_use_start_tls 를 True 로 설정합니다.

   [domain/default]
   id_provider = ldap
   autofs_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://ldap-server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_id_use_start_tls = True
   cache_credentials = True
   ldap_tls_cacertdir = /etc/openldap/certs
   ldap_tls_reqcert = allow
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   …

   Copy to Clipboard

7. /etc/sssd/sssd.conf 에서 [domain] 섹션의 ldap_tls_cacert 및 ldap_tls_reqcert 값을 수정하여 TLS 인증 요구 사항을 지정합니다.

   …
   cache_credentials = True
   ldap_tls_cacert = /etc/openldap/certs/core-dirsrv.ca.pem
   ldap_tls_reqcert = hard
   …

   Copy to Clipboard

8. /etc/sssd/sssd.conf 파일에 대한 권한을 변경합니다.

   # chmod 600 /etc/sssd/sssd.conf

   Copy to Clipboard

9. SSSD 서비스와 oddjobd 데몬을 다시 시작하고 활성화합니다.

   # systemctl restart sssd oddjobd
   # systemctl enable sssd oddjobd

   Copy to Clipboard

10. 선택 사항: LDAP 서버에서 더 이상 사용되지 않는 TLS 1.0 또는 TLS 1.1 프로토콜을 사용하는 경우 클라이언트 시스템의 시스템 전체 암호화 정책을 LEGACY 수준으로 전환하여 RHEL이 이러한 프로토콜을 사용하여 통신할 수 있도록 합니다.

    # update-crypto-policies --set LEGACY

    Copy to Clipboard

    자세한 내용은 RHEL 8의 Strong 암호화 기본값 및 Red Hat 고객 포털의 약한 암호화 알고리즘 지식 베이스 문서 및 시스템의 update-crypto-policies(8) 매뉴얼 페이지를 참조하십시오.