34.7. Active Directory DNS 도메인에 IdM 클라이언트 구성

절차

1. SSSD(System Security Services Daemon)가 IdM 서버와 통신할 수 있도록 --domain=IPA_DNS_Domain 옵션과 함께 IdM 클라이언트를 설치합니다.

   [root@idm-client.ad.example.com ~]# ipa-client-install --domain=idm.example.com

   Copy to Clipboard

   이 옵션은 Active Directory DNS 도메인에 대한 SRV 레코드 자동 감지 기능을 비활성화합니다.

2. /etc/krb5.conf 구성 파일을 열고 [domain_realm] 섹션에서 Active Directory 도메인의 기존 매핑을 찾습니다.

   .ad.example.com = IDM.EXAMPLE.COM
   ad.example.com = IDM.EXAMPLE.COM

   Copy to Clipboard

3. 두 행을 Active Directory DNS 영역에 있는 Linux 클라이언트의 정규화된 도메인 이름(FQDN)을 IdM 영역에 매핑하는 항목으로 바꿉니다.

   idm-client.ad.example.com = IDM.EXAMPLE.COM

   Copy to Clipboard

   기본 매핑을 대체하면 Kerberos에서 Active Directory 도메인에 대한 요청을 IdM Kerberos 배포 센터(KDC)로 보내는 것을 방지할 수 있습니다. 대신 Kerberos는 SRV DNS 레코드를 통해 자동 검색을 사용하여 NetNamespace를 찾습니다.

절차

1. IdM 서버에 새 호스트 오브젝트를 생성합니다.

   [root@idm-server.idm.example.com ~]# ipa host-add idm-client.ad.example.com --force

   Copy to Clipboard

   호스트 이름이 CNAME 레코드가 아닌 A/AAAA 레코드이므로 --force 옵션을 사용합니다.

2. IdM 서버에서 IdM DNS 호스트 이름을 허용하여 IdM 데이터베이스의 Active Directory 호스트 항목을 관리할 수 있습니다.

   [root@idm-server.idm.example.com ~]# ipa host-add-managedby idm-client.ad.example.com \
         --hosts=idm-client.idm.example.com

   Copy to Clipboard

3. Active Directory DNS 도메인 내의 호스트 이름에 대한 dNSName 확장 레코드와 함께 IdM 클라이언트의 SSL 인증서를 요청할 수 있습니다.

   [root@idm-client.idm.example.com ~]# ipa-getcert request -r \
         -f /etc/httpd/alias/server.crt \
         -k /etc/httpd/alias/server.key \
         -N CN=`hostname --fqdn` \
         -D `hostname --fqdn` \
         -D idm-client.ad.example.com \
         -K host/idm-client.idm.example.com@IDM.EXAMPLE.COM \
         -U id-kp-serverAuth

   Copy to Clipboard