7.2. 신뢰 컨트롤러 및 신뢰 에이전트
IdM(Identity Management)에서는 AD(Active Directory)에 대한 신뢰성을 지원하는 다음 유형의 IdM 서버를 제공합니다.
- 신뢰 컨트롤러
AD 도메인 컨트롤러에 대해 ID 조회를 수행할 수 있는 IdM 서버. 또한 AD로 신뢰를 설정할 수 있도록 Samba 제품군을 실행합니다. AD 도메인 컨트롤러는 AD에 대한 신뢰성을 설정하고 확인할 때 신뢰 컨트롤러에 연결합니다. AD-Enrolled 시스템은 Kerberos 인증 요청에 대한 IdM 신뢰 컨트롤러와 통신합니다.
신뢰를 구성할 때 첫 번째 신뢰 컨트롤러가 생성됩니다. 다양한 지리적 위치에 여러 도메인 컨트롤러가 있는 경우
ipa-adtrust-install
명령을 사용하여 해당 위치에서 RHEL IdM 서버를 신뢰 컨트롤러로 지정합니다.신뢰 컨트롤러는 신뢰 에이전트보다 더 많은 네트워크 방향 서비스를 실행하므로 잠재적인 침입자에게 더 큰 공격 면적을 제공합니다.
- 신뢰 에이전트
- RHEL IdM 클라이언트의 ID 조회를 AD 도메인 컨트롤러와 비교하여 확인할 수 있는 IdM 서버. 신뢰 컨트롤러와 달리 신뢰 에이전트는 Kerberos 인증 요청을 처리할 수 없습니다.
IdM 도메인에는 신뢰할 수 있는 에이전트 및 컨트롤러 외에도 표준 IdM 서버가 포함될 수 있습니다. 그러나 이러한 서버는 AD와 통신하지 않습니다. 따라서 이러한 표준 서버와 통신하는 클라이언트는 AD 사용자 및 그룹을 확인하거나 AD 사용자를 인증 및 인증할 수 없습니다.
다음 작업 중 하나를 수행하지 않은 경우 IdM 서버는 신뢰 컨트롤러 또는 트러스트 에이전트 역할을 작동하도록 구성되지 않았습니다.
-
ipa-server-install
또는ipa-replica-install
명령을--setup-ad
옵션으로 사용하여 서버 또는 복제본을 설치했습니다. -
IdM 서버에서
ipa-adtrust-install
명령을 실행하여 신뢰 컨트롤러 역할을 구성했습니다. -
신뢰 컨트롤러에서
ipa-adtrust-install --add-agents
명령을 실행하여 다른 IdM 복제본을 신뢰 에이전트로 지정했습니다.
기본적으로 IdM 서버는 이러한 작업 없이 신뢰할 수 있는 도메인의 사용자 및 그룹을 확인할 수 없습니다.
기능 | 신뢰 에이전트 | 신뢰 컨트롤러 |
---|---|---|
AD 사용자 및 그룹 해결 | 있음 | 있음 |
신뢰할 수 있는 AD 포리스트에서 사용자가 액세스할 수 있는 서비스를 실행하는 IdM 클라이언트 등록 | 있음 | 있음 |
신뢰 계약 추가, 수정 또는 제거 | 없음 | 있음 |
IdM 서버에 신뢰 에이전트 역할 할당 | 없음 | 있음 |
신뢰 컨트롤러 및 신뢰 에이전트 배포를 계획할 때 다음 지침을 고려하십시오.
- IdM 배포당 신뢰할 수 있는 컨트롤러를 두 개 이상 구성합니다.
- 각 데이터 센터에 신뢰할 수 있는 컨트롤러를 두 개 이상 구성합니다.
추가 신뢰 컨트롤러를 생성하거나 기존 신뢰 컨트롤러가 실패하는 경우 신뢰 에이전트 또는 표준 서버를 승격하여 새 신뢰 컨트롤러를 생성합니다. 이렇게 하려면 IdM 서버에서 ipa-adtrust-install
유틸리티를 사용합니다.
기존 신뢰 컨트롤러를 신뢰 에이전트로 다운그레이드할 수 없습니다.