7.15. AD 서버 검색 및 선호도
서버 검색 및 선호도 구성은 IdM(Identity Management) 클라이언트가 IdM과 AD 간의 교차 포리스트 신뢰에서 통신하는 AD(Active Directory) 서버에 영향을 미칩니다.
동일한 지리적 위치에 있는 서버를 선호하도록 클라이언트를 구성하면 클라이언트가 다른 원격 데이터 센터에서 서버에 연결할 때 발생하는 시간 지연 및 기타 문제를 방지할 수 있습니다. 클라이언트가 로컬 서버와 통신하는지 확인하려면 다음을 확인해야 합니다.
- 클라이언트는 LDAP 및 Kerberos를 통해 로컬 IdM 서버와 통신합니다.
- 클라이언트는 Kerberos를 통해 로컬 AD 서버와 통신
- IdM 서버에 포함된 클라이언트는 LDAP 및 Kerberos를 통해 로컬 AD 서버와 통신합니다.
로컬 IdM 서버와의 통신을 위해 IdM 클라이언트에서 LDAP 및 Kerberos를 구성하는 옵션
- 통합 DNS와 함께 IdM을 사용할 때
기본적으로 클라이언트는 DNS 레코드에 따라 자동 서비스 조회를 사용합니다. 이 설정에서는 DNS 위치 기능을 사용하여 DNS 기반 서비스 검색을 구성할 수도 있습니다.
자동 조회를 재정의하려면 다음 방법 중 하나로 DNS 검색을 비활성화할 수 있습니다.
- 명령줄에서 장애 조치 매개변수를 제공하여 IdM 클라이언트 설치 중
- SSSD(System Security Services Daemon) 구성을 수정하여 클라이언트 설치 후
- 통합된 DNS없이 IdM을 사용하는 경우
다음 방법 중 하나로 클라이언트를 명시적으로 구성해야 합니다.
- 명령줄에서 장애 조치 매개변수를 제공하여 IdM 클라이언트 설치 중
- SSSD 설정을 수정하여 클라이언트 설치 후
로컬 AD 서버와의 통신을 위해 IdM 클라이언트에서 Kerberos를 구성하는 옵션
IdM 클라이언트는 통신할 AD 서버를 자동으로 검색할 수 없습니다. AD 서버를 수동으로 지정하려면 krb5.conf 파일을 수정합니다.
- AD 영역 정보 추가
- 통신할 AD 서버를 명시적으로 나열합니다.
예를 들면 다음과 같습니다.
[realms]
AD.EXAMPLE.COM = {
kdc = server1.ad.example.com
kdc = server2.ad.example.com
}Kerberos 및 LDAP를 통한 로컬 AD 서버와의 통신을 위해 IdM 서버에 포함된 클라이언트를 구성하는 옵션
IdM 서버에 포함된 클라이언트는 AD 서버의 클라이언트로도 작동합니다. 적절한 AD 사이트를 자동으로 검색하고 사용할 수 있습니다.
포함된 클라이언트가 검색을 수행할 때 먼저 원격 위치에서 AD 서버를 검색할 수 있습니다. 원격 서버에 접속을 시도하는 데 시간이 너무 오래 걸리면 클라이언트에서 연결을 설정하지 않고 작업을 중지할 수 있습니다. 클라이언트의 sssd.conf 파일에서 dns_resolver_timeout 옵션을 사용하여 클라이언트가 DNS 확인자로부터 응답을 기다리는 시간을 늘립니다. 자세한 내용은 sssd.conf(5) 도움말 페이지를 참조하십시오.
로컬 AD 서버와 통신하도록 포함된 클라이언트가 구성되면 SSSD는 포함된 클라이언트가 속하는 AD 사이트를 기억합니다. 이 때문에 SSSD는 일반적으로 로컬 도메인 컨트롤러로 직접 LDAP ping을 전송하여 사이트 정보를 새로 고칩니다. 사이트가 더 이상 존재하지 않거나 클라이언트가 다른 사이트에 할당되면 SSSD는 포리스트에서 SRV 레코드를 쿼리하기 시작하고 전체 자동 검색 프로세스를 거칩니다.
sssd.conf 에서 신뢰할 수 있는 도메인 섹션 을 사용하면 기본적으로 자동으로 검색되는 정보의 일부를 명시적으로 재정의할 수도 있습니다.
