RHEL에서 인증 및 권한 부여 구성

검증

1. SSSD에 대한 ssss 항목이 /etc/nsswitch.conf 에 있는지 확인하십시오 :

   passwd:     sss files
   group:      sss files
   netgroup:   sss files
   automount:  sss files
   services:   sss files
   ...

   Copy to Clipboard Toggle word wrap

2. pam_sss .so 항목의 /etc/pam.d/system-auth 파일의 내용을 검토합니다.

   # Generated by authselect on Tue Sep 11 22:59:06 2018
   # Do not modify this file manually.
   
   auth        required        pam_env.so
   auth        required        pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]    pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]    pam_localuser.so
   auth        sufficient      pam_unix.so nullok try_first_pass
   auth        requisite       pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient      pam_sss.so forward_pass
   auth        required        pam_deny.so
   
   account     required        pam_unix.so
   account     sufficient      pam_localuser.so
   ...

   Copy to Clipboard Toggle word wrap

절차

1. authselect 프로필을 선택합니다. 예를 들면 다음과 같습니다.

   # authselect select sssd

   Copy to Clipboard Toggle word wrap
2. 원하는 변경 사항으로 /etc/authselect/user-nsswitch.conf 파일을 편집합니다.

3. /etc/authselect/user-nsswitch.conf 파일의 변경 사항을 적용합니다.

   # authselect apply-changes

   Copy to Clipboard Toggle word wrap

절차

1. 사용자 정의 프로필을 생성하려면 authselect create-profile 명령을 실행합니다. & lt;custom_profile& gt;을 원하는 프로필 이름으로 바꿉니다. 예를 들어, /etc/nsswitch.conf 파일의 항목을 직접 구성하는 옵션을 사용하여 준비된 sssd 프로필을 기반으로 프로필을 생성하려면 다음 명령을 사용합니다.

   # authselect create-profile <custom_profile> -b sssd --symlink-meta --symlink-pam
   New profile was created at /etc/authselect/custom/<custom_profile>

   Copy to Clipboard Toggle word wrap
   주의

   /etc/authselect/custom/<custom_profile>/{password-auth,system-auth,fingercard-auth,smartcard-auth,postlogin} 를 수정하려면 --symlink-pam 옵션 없이 위의 명령을 입력합니다. 이는 authselect-libs 를 업그레이드하는 동안 수정이 지속되도록 하기 위한 것입니다.

   명령에 --symlink-pam 옵션을 포함하면 PAM 템플릿이 복사 대신 원본 프로필 파일에 대한 심볼릭 링크가 됩니다. --symlink-meta 옵션을 사용하면 README 및 REQUIREMENTS와 같은 메타 파일이 복사 대신 원본 프로필 파일에 대한 심볼릭 링크가 됩니다. 이렇게 하면 원래 프로필의 PAM 템플릿 및 메타 파일에 대한 향후 모든 업데이트가 사용자 지정 프로필에 반영됩니다.

   이 명령은 /etc/nsswitch.conf 파일의 사본을 / etc/authselect/custom/ <custom_profile> / 디렉터리에 생성합니다.

2. /etc/authselect/custom/ <custom_profile> /nsswitch.conf 파일을 구성합니다.

3. custom / <custom_profile>을 매개변수로 사용하여 authselect select 명령을 실행하여 사용자 정의 프로필을 선택합니다.

   # authselect select custom/<custom_profile>

   Copy to Clipboard Toggle word wrap

   시스템에 대한 < custom_profile > 프로필을 선택하면 /etc/nsswitch.conf 파일을 제외한 모든 업데이트에서 sssd 프로파일을 나중에 업데이트할 수 있습니다.

   예 2.1. sssd 프로필을 기반으로 사용자 지정 프로필 생성

   dns 또는 myhostname 데이터베이스가 아닌 /etc/hosts 파일의 호스트 이름에 대한 로컬 정적 테이블 조회만 참조하는 sssd 프로필을 기반으로 프로필을 생성할 수 있습니다.

   1. 다음 행을 편집하여 /etc/nsswitch.conf 파일을 편집합니다.

      hosts:      files

      Copy to Clipboard Toggle word wrap

   2. /etc/nsswitch.conf 에 대한 변경을 제외하는 sssd 를 기반으로 사용자 지정 프로필을 생성합니다.

      # authselect create-profile custom-sssd-profile -b sssd --symlink-meta --symlink-pam

      Copy to Clipboard Toggle word wrap

   3. 프로필을 선택합니다.

      # authselect select custom/custom-sssd-profile

      Copy to Clipboard Toggle word wrap

   4. 선택 사항: 사용자 지정 프로필을 선택했는지 확인합니다.

      • 선택한 sssd 프로필에 따라 /etc/pam.d/system-auth 파일을 생성

      • /etc/nsswitch.conf 에 구성을 그대로 둡니다.

        hosts:      files

        Copy to Clipboard Toggle word wrap
        참고

        authselect를 실행하면 sssd 를 선택하면 호스트가 생성됩니다. 파일 dns myhostname

1. 클라이언트를 원격 프로바이더에 연결하여 ID 및 인증 정보를 검색합니다.
2. 가져온 인증 정보를 사용하여 클라이언트에서 사용자 및 자격 증명의 로컬 캐시를 생성합니다.

1. 기본 /etc/sssd/sssd.conf 파일입니다.
2. 기타 *.conf 파일 /etc/sssd/conf.d/ )는 알파벳순으로 처리됩니다.

절차

1. 필수 패키지를 설치합니다.

   # dnf -y install openldap-clients sssd sssd-ldap oddjob-mkhomedir

   Copy to Clipboard Toggle word wrap

2. 인증 공급자를 sssd 로 전환 :

   # authselect select sssd with-mkhomedir

   Copy to Clipboard Toggle word wrap

3. OpenLDAP 서버의 SSL/TLS 인증서를 발급한 인증 기관에서 루트 CA 서명 인증서 체인이 포함된 core-dirsrv.ca.pem 파일을 /etc/openldap/certs 폴더에 복사합니다.

   # cp core-dirsrv.ca.pem /etc/openldap/certs

   Copy to Clipboard Toggle word wrap

4. LDAP 서버의 URL 및 접미사를 /etc/openldap/ldap.conf 파일에 추가합니다.

   URI ldap://ldap-server.example.com/
   BASE dc=example,dc=com

   Copy to Clipboard Toggle word wrap

5. /etc/openldap/ldap.conf 파일에서 TLS_CACERT 매개 변수를 /etc/openldap/certs/core-dirsrv.ca.pem에 가리키는 행을 추가합니다.

   # When no CA certificates are specified the Shared System Certificates
   # are in use. In order to have these available along with the ones specified
   # by TLS_CACERTDIR one has to include them explicitly:
   TLS_CACERT /etc/openldap/certs/core-dirsrv.ca.pem

   Copy to Clipboard Toggle word wrap

6. /etc/sssd/sssd.conf 파일에서 ldap_uri 및 ldap_search_base 매개변수에 환경 값을 추가하고 ldap_id_use_start_tls 를 True 로 설정합니다.

   [domain/default]
   id_provider = ldap
   autofs_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://ldap-server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_id_use_start_tls = True
   cache_credentials = True
   ldap_tls_cacertdir = /etc/openldap/certs
   ldap_tls_reqcert = allow
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   …

   Copy to Clipboard Toggle word wrap

7. /etc/sssd/sssd.conf 에서 [domain] 섹션의 ldap_tls_cacert 및 ldap_tls_reqcert 값을 수정하여 TLS 인증 요구 사항을 지정합니다.

   …
   cache_credentials = True
   ldap_tls_cacert = /etc/openldap/certs/core-dirsrv.ca.pem
   ldap_tls_reqcert = hard
   …

   Copy to Clipboard Toggle word wrap

8. /etc/sssd/sssd.conf 파일에 대한 권한을 변경합니다.

   # chmod 600 /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

9. SSSD 서비스와 oddjobd 데몬을 다시 시작하고 활성화합니다.

   # systemctl restart sssd oddjobd
   # systemctl enable sssd oddjobd

   Copy to Clipboard Toggle word wrap

10. 선택 사항: LDAP 서버에서 더 이상 사용되지 않는 TLS 1.0 또는 TLS 1.1 프로토콜을 사용하는 경우 클라이언트 시스템의 시스템 전체 암호화 정책을 LEGACY 수준으로 전환하여 RHEL이 이러한 프로토콜을 사용하여 통신할 수 있도록 합니다.

    # update-crypto-policies --set LEGACY

    Copy to Clipboard Toggle word wrap

    자세한 내용은 RHEL 8의 Strong 암호화 기본값 및 Red Hat 고객 포털의 약한 암호화 알고리즘 지식 베이스 문서 및 시스템의 update-crypto-policies(8) 매뉴얼 페이지를 참조하십시오.

절차

1. /etc/sssd/sssd.conf 파일을 엽니다.

2. re_expression 옵션을 사용하여 사용자 지정 정규식을 정의합니다.

   예 5.1. 전역 정규식 정의

   모든 도메인에 대해 정규 표현식을 전역적으로 정의하려면 sssd.conf 파일의 [sssd] 섹션에 re_expression 을 추가합니다.

   다음 글로벌 표현식을 사용하여 <domain> \_<username>_ 또는 <domain>@< user_name > 형식으로 사용자 이름을 정의할 수 있습니다.

   [sssd]
   [... file truncated ...]
   re_expression = (?P_<domain>_[^\\]*?)\\?(?P_<name>_[^\\]+$)

   Copy to Clipboard Toggle word wrap

   예 5.2. 특정 도메인의 정규 표현식 정의

   특정 도메인에 대한 정규 표현식을 개별적으로 정의하려면 sssd.conf 파일의 해당 도메인 섹션에 re_expression 을 추가합니다.

   다음 글로벌 표현식을 사용하여 LDAP 도메인의 < domain> \_<username>_ 또는 < domain>@<user_name > 형식으로 사용자 이름을 정의할 수 있습니다.

   [domain/LDAP]
   [... file truncated ...]
   re_expression = (?P_<domain>_[^\\]*?)\\?(?P_<name>_[^\\]+$)

   Copy to Clipboard Toggle word wrap

절차

1. 루트로 /etc/sssd/sssd.conf 파일을 엽니다.

2. 모든 도메인의 전역적으로 확장을 정의하려면 sssd.conf 의 [sssd] 섹션에 full_name_format 을 추가합니다.

   [sssd]
   [... file truncated ...]
   full_name_format = %1$s@%2$s

   Copy to Clipboard Toggle word wrap

   이 경우 사용자 이름이 user@domain.test 로 표시됩니다.

3. 특정 도메인에 대한 사용자 이름 인쇄 형식을 정의하려면 sssd.conf 의 해당 도메인 섹션에 full_name_format 을 추가합니다.

   • %2$s\%1$s 를 사용하여 AD(Active Directory) 도메인의 확장을 구성하려면 다음을 수행합니다.

     [domain/ad.domain]
     [... file truncated ...]
     full_name_format = %2$s\%1$s

     Copy to Clipboard Toggle word wrap

     이 경우 사용자 이름이 ad.domain\user 로 표시됩니다.

   • %3$s\%1$s 를 사용하여 AD(Active Directory) 도메인의 확장을 구성하려면 다음을 수행합니다.

     [domain/ad.domain]
     [... file truncated ...]
     full_name_format = %3$s\%1$s

     Copy to Clipboard Toggle word wrap

     이 경우 Active Directory 도메인의 플랫 도메인 이름이 AD 로 설정된 경우 사용자 이름이 AD\user 로 표시됩니다.

절차

1. /etc/sssd/sssd.conf 파일을 엽니다.

2. domain 섹션에서 cache_credentials = true 설정을 추가합니다.

   [domain/<domain_name>]
   cache_credentials = true

   Copy to Clipboard Toggle word wrap

3. 선택 사항이지만 권장됩니다. ID 공급자를 사용할 수 없는 경우 SSSD에서 오프라인 인증을 허용하는 기간에 대한 시간 제한을 구성합니다.

   1. SSSD에서 작동하도록 PAM 서비스를 구성합니다.

   2. offline_credentials_expiration 옵션을 사용하여 시간 제한을 지정합니다.

      제한은 일 단위로 설정됩니다.

      예를 들어 사용자가 마지막으로 로그인한 후 3일 동안 오프라인으로 인증할 수 있도록 지정하려면 다음을 사용합니다.

      [pam]
      offline_credentials_expiration = 3

      Copy to Clipboard Toggle word wrap

절차

1. /etc/sssd/sssd.conf 파일을 엽니다.

2. 기본 서버 값을 _srv_ 로 설정합니다.

   LDAP 공급자의 경우 기본 서버는 ldap_uri 옵션을 사용하여 설정됩니다.

   [domain/<ldap_domain_name>]
   id_provider = ldap
   ldap_uri = _srv_

   Copy to Clipboard Toggle word wrap

3. 서비스 유형을 설정하여 암호 변경 공급자의 서비스 검색을 활성화합니다.

   [domain/<ldap_domain_name>]
   id_provider = ldap
   ldap_uri = _srv_
   
   chpass_provider = ldap
   ldap_chpass_dns_service_name = ldap

   Copy to Clipboard Toggle word wrap
4. 선택 사항: 기본적으로 서비스 검색에서는 시스템 호스트 이름의 도메인 부분을 도메인 이름으로 사용합니다. 다른 DNS 도메인을 사용하려면 dns_discovery_domain 옵션을 사용하여 도메인 이름을 지정합니다.
5. 선택 사항: 기본적으로 서비스 검색은 LDAP 서비스 유형을 검사합니다. 다른 서비스 유형을 사용하려면 ldap_dns_service_name 옵션을 사용하여 유형을 지정합니다.
6. 선택 사항: 기본적으로 SSSD는 IPv4 주소를 조회합니다. 시도에 실패하면 SSSD에서 IPv6 주소를 조회하려고 시도합니다. 이 동작을 사용자 지정하려면 lookup_family_order 옵션을 사용합니다.

7. 서비스 검색을 사용할 모든 서비스에 대해 DNS 레코드를 DNS 서버에 추가합니다.

   _<service_name>.<protocol>.<domain_name> <TTL> <priority> <weight> <port_number> <hostname>_

   Copy to Clipboard Toggle word wrap

절차

1. /etc/sssd/sssd.conf 파일을 엽니다.

2. access_provider 옵션을 simple 로 설정합니다.

   [domain/<domain_name>]
   access_provider = simple

   Copy to Clipboard Toggle word wrap

3. 사용자에 대한 액세스 제어 규칙을 정의합니다.

   1. 사용자에 대한 액세스를 허용하려면 simple_allow_users 옵션을 사용합니다.

   2. 사용자에 대한 액세스를 거부하려면 simple_deny_users 옵션을 사용합니다.

      중요

      특정 사용자에 대한 액세스를 거부하는 경우 다른 모든 사용자에 대한 액세스를 자동으로 허용합니다. 특정 사용자에 대한 액세스 허용은 거부하는 것보다 안전한 것으로 간주됩니다.

4. 그룹에 대한 액세스 제어 규칙을 정의합니다. 다음 중 하나를 선택합니다.

   1. 그룹에 대한 액세스를 허용하려면 simple_allow_groups 옵션을 사용합니다.

   2. 그룹에 대한 액세스를 거부하려면 simple_deny_groups 옵션을 사용합니다.

      중요

      특정 그룹에 대한 액세스를 거부하면 다른 모든 그룹에 대한 액세스를 자동으로 허용합니다. 특정 그룹에 대한 액세스 허용은 거부하는 것보다 안전한 것으로 간주됩니다.

      예 5.3. 특정 사용자 및 그룹에 대한 액세스 허용

      다음 예제에서는 다른 모든 사용자에 대한 액세스를 거부하면서 alice,bob 및 engineers 그룹의 멤버에 액세스할 수 있습니다.

      [domain/<domain_name>]
      access_provider = simple
      simple_allow_users = alice, bob
      simple_allow_groups = engineers

      Copy to Clipboard Toggle word wrap

절차

1. /etc/sssd/sssd.conf 파일을 엽니다.

2. [domain] 섹션에서 액세스 제어 필터를 지정합니다.

   • LDAP의 경우 ldap_access_filter 옵션을 사용합니다.

   • AD의 경우 ad_access_filter 옵션을 사용합니다. 또한 ad_gpo_access_control 옵션을 disabled 로 설정하여 GPO 기반 액세스 제어를 비활성화해야 합니다.

     예 5.4. 특정 AD 사용자에게 액세스 허용

     예를 들어 admins 사용자 그룹에 속하고 unixHomeDirectory 특성이 설정된 AD 사용자에게만 액세스를 허용하려면 다음을 사용합니다.

     [domain/<ad_domain_name>]
     access provider = ad
     [... file truncated ...]
     ad_access_filter = (&(memberOf=cn=admins,ou=groups,dc=example,dc=com)(unixHomeDirectory=*))
     ad_gpo_access_control = disabled

     Copy to Clipboard Toggle word wrap

절차

1. 사용자의 현재 정보를 표시합니다.

   # id <ldap_username>

   Copy to Clipboard Toggle word wrap

   & lt;ldap_ username & gt;을 사용자의 LDAP 사용자 이름으로 바꿉니다.

2. 로컬 사용자 이름을 추가합니다.

   # sss_override user-add <ldap_username> -n <local_username>

   Copy to Clipboard Toggle word wrap

   &lt ;ldap_ username >을 LDAP 사용자 이름으로 바꾸고 < local_username >을 원하는 로컬 사용자 이름으로 바꿉니다.

3. sss_override user-add 명령을 사용하여 첫 번째 재정의를 생성한 후 SSSD를 재시작하여 변경 사항을 적용합니다.

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. 사용자의 현재 UID를 표시합니다.

   # id -u <ldap_username>

   Copy to Clipboard Toggle word wrap

   & lt;ldap_ username & gt;을 사용자의 LDAP 사용자 이름으로 바꿉니다.

2. 사용자 계정의 UID를 재정의합니다.

   # sss_override user-add <ldap_username> -u <local_uid>

   Copy to Clipboard Toggle word wrap

   & lt;ldap_ username >을 사용자의 LDAP 사용자 이름으로 바꾸고 < local_uid >를 새 UID 번호로 바꿉니다.

3. 메모리 내 캐시를 만료합니다.

   # sss_cache --users

   Copy to Clipboard Toggle word wrap

4. sss_override user-add 명령을 사용하여 첫 번째 재정의를 생성한 후 SSSD를 재시작하여 변경 사항을 적용합니다.

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. 사용자의 현재 GID를 표시합니다.

   # id -g <ldap_username>

   Copy to Clipboard Toggle word wrap

   & lt;ldap_username >을 사용자 이름으로 바꿉니다.

2. 사용자 계정의 GID를 재정의합니다.

   # sss_override user-add <ldap_username> -g <local_gid>

   Copy to Clipboard Toggle word wrap

   & lt;ldap_username >을 사용자 이름으로 바꾸고 < local_gid >를 로컬 GID 번호로 바꿉니다.

3. 메모리 내 캐시를 만료합니다.

   # sss_cache --users

   Copy to Clipboard Toggle word wrap

4. sss_override user-add 명령을 사용하여 첫 번째 재정의를 생성한 후 SSSD를 재시작하여 변경 사항을 적용합니다.

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. 로컬에 저장된 사용자의 현재 홈 디렉터리를 표시합니다.

   # getent passwd <ldap_username>
   <ldap_username>:x:XXXX:XXXX::/home/<home_directory>:/bin/bash

   Copy to Clipboard Toggle word wrap

   & lt;ldap_username >을 사용자 이름으로 바꿉니다. 출력에는 로컬로 표시된 홈 디렉터리 값이 표시되고 LDAP 레코드와 다를 수 있습니다.

2. 사용자의 홈 디렉터리를 재정의합니다.

   # sss_override user-add <ldap_username> -h <new_home_directory>

   Copy to Clipboard Toggle word wrap

   & lt;ldap_username >을 사용자 이름으로 바꾸고 < new_home_directory >를 새 홈 디렉터리로 바꿉니다.

3. SSSD를 재시작하여 변경 사항을 적용합니다.

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. 로컬에 저장된 사용자 쉘을 표시합니다.

   # getent passwd <ldap_username>
   <ldap_username>:x:XXXX:XXXX::/home/<home_directory>:_<currentshell>_

   Copy to Clipboard Toggle word wrap

   & lt;ldap_username >을 사용자 이름으로 바꿉니다.

2. 사용자의 쉘을 재정의합니다.

   # sss_override user-add <ldap_username> -s <new_shell>

   Copy to Clipboard Toggle word wrap

   & lt;ldap_username >을 사용자 이름으로 바꾸고 < new_shell >을 새 쉘로 바꿉니다.

3. SSSD를 재시작하여 변경 사항을 적용합니다.

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. 선택 사항: sssctl 명령에 대한 도움말을 표시하려면 다음을 입력합니다.

   [user@client1 ~]$ sssctl --help
   ....

   Copy to Clipboard Toggle word wrap
2. 사용 가능한 도메인 목록을 표시하려면 다음을 입력합니다.

절차

1. 선택 사항: sssctl 명령에 대한 도움말을 표시하려면 다음을 입력합니다.

   [user@client1 ~]$ sssctl --help

   Copy to Clipboard Toggle word wrap

2. 특정 도메인의 사용자 데이터를 표시하려면 < domain_name> 을 실제 도메인 이름으로 바꾸고 다음을 입력합니다.

   [root@client1 ~]# sssctl domain-status <domain_name>

   Copy to Clipboard Toggle word wrap

   도메인 idm.example.com의 출력 예

   Online status: Online
   
   Active servers:
   IPA: server.idm.example.com
   
   Discovered IPA servers:
   - server.idm.example.com

   Copy to Clipboard Toggle word wrap

   도메인 idm.example.com 은 온라인이며 명령을 적용한 클라이언트에서 볼 수 있습니다.

절차

1. 필요한 도메인 또는 도메인에 액세스하도록 SSSD를 구성합니다. /etc/sssd/sssd.conf 파일 의 domain 옵션에서 SSSD를 인증할 수 있는 도메인을 정의합니다.

   [sssd]
   domains = <idm.example.com>, <ad.example.com>, <ldap.example.com>

   Copy to Clipboard Toggle word wrap

2. PAM 구성 파일에서'domains' 옵션을 설정하여 PAM 서비스가 인증할 수 있는 도메인 또는 도메인을 지정합니다. 예를 들면 다음과 같습니다.

   auth        sufficient    pam_sss.so forward_pass domains=<idm.example.com>
   account     [default=bad success=ok user_unknown=ignore] pam_sss.so
   password    sufficient    pam_sss.so use_authtok

   Copy to Clipboard Toggle word wrap

   이 구성은 < idm.example.com >에만 인증하도록 PAM 서비스를 제한합니다.

1. getent 명령은 libc 라이브러리에서 getpwnam 호출을 트리거합니다.
2. libc 라이브러리는 /etc/nsswitch.conf 구성 파일을 참조하여 사용자 정보 제공을 담당하는 서비스를 확인하고 SSSD 서비스에 대한 항목을 검색합니다.
3. libc 라이브러리는 nss_sss 모듈을 엽니다.
4. nss_sss 모듈은 사용자 정보에 대한 메모리 매핑 캐시를 확인합니다. 데이터가 캐시에 있는 경우 nss_sss 모듈에서 해당 데이터를 반환합니다.
5. 사용자 정보가 메모리 매핑 캐시에 없는 경우 요청이 SSSD sssd_nss 응답자 프로세스에 전달됩니다.
6. SSSD 서비스는 해당 캐시를 확인합니다. 데이터가 캐시에 있고 유효한 경우 sssd_nss 응답자가 캐시에서 데이터를 읽고 애플리케이션에 반환합니다.
7. 데이터가 캐시에 없거나 만료된 경우 sssd_nss 응답자가 적절한 백엔드 프로세스를 쿼리하고 응답을 기다립니다. SSSD 서비스는 sssd.conf 구성 파일에서 id_provider=ipa 를 설정하여 활성화되는 IdM 환경에서 IPA 백엔드를 사용합니다.
8. sssd_be 백엔드 프로세스는 IdM 서버에 연결하고 IdM LDAP 디렉터리 서버에서 정보를 요청합니다.
9. IdM 서버의 SSSD 백엔드는 IdM 클라이언트의 SSSD 백엔드 프로세스에 응답합니다.
10. 클라이언트의 SSSD 백엔드는 결과 데이터를 SSSD 캐시에 저장하고 캐시가 업데이트되었음을 응답 프로세스를 경고합니다.
11. sssd_nss 프론트엔드 응답자 프로세스는 SSSD 캐시에서 정보를 검색합니다.
12. sssd_nss 응답자가 사용자 정보를 nss_sss 응답자에게 전송하여 요청을 완료합니다.
13. libc 라이브러리는 사용자 정보를 요청한 애플리케이션에 반환합니다.

1. IdM 클라이언트는 AD 사용자 정보를 위해 로컬 SSSD 캐시를 찾습니다.
2. IdM 클라이언트에 사용자 정보가 없거나 정보가 오래된 경우 클라이언트의 SSSD 서비스는 IdM 서버의 extdom_extop 플러그인에 연결하여 LDAP 확장 작업을 수행하고 정보를 요청합니다.
3. IdM 서버의 SSSD 서비스는 로컬 캐시에서 AD 사용자 정보를 찾습니다.
4. IdM 서버에 SSSD 캐시에 사용자 정보가 없거나 정보가 오래된 경우 LDAP 검색을 수행하여 AD 도메인 컨트롤러에서 사용자 정보를 요청합니다.
5. IdM 서버의 SSSD 서비스는 AD 도메인 컨트롤러에서 AD 사용자 정보를 수신하여 캐시에 저장합니다.
6. extdom_extop 플러그인은 IdM 서버의 SSSD 서비스에서 LDAP 확장 작업을 완료하는 정보를 받습니다.
7. IdM 클라이언트의 SSSD 서비스는 LDAP 확장 작업에서 AD 사용자 정보를 받습니다.
8. IdM 클라이언트는 AD 사용자 정보를 SSSD 캐시에 저장하고 요청한 애플리케이션에 정보를 반환합니다.

1. ssh 명령을 사용한 인증 시도는 libpam 라이브러리를 트리거합니다.

2. libpam 라이브러리는 인증 시도를 요청하는 서비스에 해당하는 /etc/pam.d/ 디렉터리에서 PAM 파일을 참조합니다. 이 예에서는 로컬 호스트의 SSH 서비스를 통한 인증과 함께 libpam 라이브러리에서 /etc/pam.d/system-auth 구성 파일을 확인하고 SSSD PAM에 대한 pam_sss.so 항목을 검색합니다.

   auth    sufficient    pam_sss.so

   Copy to Clipboard Toggle word wrap
3. 사용 가능한 인증 방법을 결정하기 위해 libpam 라이브러리는 pam_sss 모듈을 열고 SSSD 서비스의 sssd _pam PAM 응답자에게 SSS_PAM_ PREAUTH 요청을 전송합니다.
4. 스마트 카드 인증이 구성된 경우 SSSD 서비스는 스마트 카드를 확인하고 여기에서 인증서를 검색하는 임시 p11_child 프로세스를 생성합니다.
5. 사용자에 대해 스마트 카드 인증이 구성된 경우 sssd_pam responder는 사용자와 함께 스마트 카드의 인증서 일치를 시도합니다. sssd_pam responder는 그룹 멤버십이 액세스 제어에 영향을 미칠 수 있으므로 사용자가 속한 그룹에 대한 검색도 수행합니다.
6. sssd_pam responder는 SSS_PAM_PREAUTH 요청을 sssd_be 백엔드 응답자에게 전송하여 서버가 지원하는 인증 방법(예: 암호 또는 2 단계 인증)을 확인합니다. SSSD 서비스가 IPA 응답자를 사용하는 IdM 환경에서 기본 인증 방법은 Kerberos입니다. 이 예에서는 사용자가 간단한 Kerberos 암호를 사용하여 인증합니다.
7. sssd_be 응답자는 temporary krb5_child 프로세스를 생성합니다.
8. The krb5_child 프로세스는 IdM 서버의 KDC에 접속하고 사용 가능한 인증 방법을 확인합니다.

9. KDC는 요청에 응답합니다.

   1. The krb5_child 프로세스는 응답을 평가하고 결과를 sssd_be 백엔드 프로세스로 다시 보냅니다.
   2. sssd_be 백엔드 프로세스는 결과를 수신합니다.
   3. sssd_pam responder는 결과를 수신합니다.
   4. pam_sss 모듈은 결과를 수신합니다.
10. 사용자에 대해 암호 인증이 구성된 경우 pam_sss 모듈은 사용자에게 암호를 요청합니다. 스마트 카드 인증이 구성된 경우 pam_sss 모듈은 사용자에게 스마트 카드 PIN을 묻는 메시지를 표시합니다.

11. 이 모듈은 SSS_PAM_AUTHENTICATE 요청을 보냅니다. 이 요청은 다음과 같이 이동합니다.

    1. sssd_pam 응답자.
    2. sssd_be 백엔드 프로세스.
12. sssd_be 프로세스는 KDC에 연결하기 위해 temporary krb5_child 프로세스를 생성합니다.
13. The krb5_child 프로세스는 사용자가 제공한 사용자 이름과 암호를 사용하여 KDC에서 Kerberos Ticket Granting Ticket(TGT)을 검색하려고 시도합니다.
14. The krb5_child 프로세스는 인증 시도의 결과를 수신합니다.

15. The krb5_child 프로세스:

    1. TGT를 자격 증명 캐시에 저장합니다.
    2. sssd_be 백엔드 프로세스에 인증 결과를 반환합니다.

16. 인증 결과는 sssd_be 프로세스에서 다음과 같이 이동합니다.

    1. sssd_pam 응답자.
    2. pam_sss 모듈.
17. pam_sss 모듈은 다른 애플리케이션에서 참조할 수 있도록 사용자 TGT의 위치로 환경 변수를 설정합니다.

절차

1. SSSD 서비스 및 해당 프로세스가 실행 중인지 확인합니다.

   [root@client ~]# pstree -a | grep sssd
     |-sssd -i --logger=files
     |   |-sssd_be --domain implicit_files --uid 0 --gid 0 --logger=files
     |   |-sssd_be --domain <domain_name> --uid 0 --gid 0 --logger=files
     |   |-sssd_ifp --uid 0 --gid 0 --logger=files
     |   |-sssd_nss --uid 0 --gid 0 --logger=files
     |   |-sssd_pac --uid 0 --gid 0 --logger=files
     |   |-sssd_pam --uid 0 --gid 0 --logger=files
     |   |-sssd_ssh --uid 0 --gid 0 --logger=files
     |   `-sssd_sudo --uid 0 --gid 0 --logger=files
     |-sssd_kcm --uid 0 --gid 0 --logger=files

   Copy to Clipboard Toggle word wrap

2. 클라이언트가 IP 주소를 통해 사용자 데이터베이스 서버에 연결할 수 있는지 확인합니다.

   [user@client ~]$ ping <IP_address_of_the_database_server>

   Copy to Clipboard Toggle word wrap

   이 단계가 실패하면 네트워크 및 방화벽 설정에서 IdM 클라이언트와 서버 간의 직접 통신을 허용하는지 확인합니다. firewalld 사용 및 구성을 참조하십시오.

3. 클라이언트가 정규화된 호스트 이름을 통해 IdM LDAP 서버(Id 사용자용) 또는 AD 도메인 컨트롤러(AD 사용자의 경우)를 검색하고 연결할 수 있는지 확인합니다.

   [user@client ~]$ dig -t SRV ldap._tcp.<domain>@<server_name>
   [user@client ~]$ ping <fully_qualified_host_name_of_the_server>

   Copy to Clipboard Toggle word wrap

   이 단계가 실패하면 /etc/resolv.conf 파일을 포함하여 DNS(Dynamic Name Service) 설정을 확인합니다. DNS 서버 순서 구성을 참조하십시오.

   참고

   기본적으로 SSSD 서비스는 DNS 서비스(SRV) 레코드를 통해 LDAP 서버와 AD DC를 자동으로 검색합니다. SSSD를 특정 서버로 제한하려면 다음 옵션을 사용하여 sssd.conf 구성 파일에 정의합니다.

   • ipa_server = <fully_qualified_host_name_of_the_server>
   • ad_server = <fully_qualified_host_name_of_the_server>
   • ldap_uri = <fully_qualified_host_name_of_the_server>

   이러한 옵션을 사용하는 경우 목록에 나열된 서버에 연결할 수 있는지 확인합니다.

4. 클라이언트가 LDAP 서버에 인증하고 ldapsearch 명령으로 사용자 정보를 검색할 수 있는지 확인합니다.

   1. LDAP 서버가 server.example.com 과 같이 IdM 서버인 경우 호스트의 Kerberos 티켓을 검색하고 호스트 Kerberos 주체로 데이터베이스 검색을 수행합니다.

      [user@client ~]$ kinit -k 'host/client.example.com@EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.example.com -b “dc=example,dc=com” uid=<idm_user>

      Copy to Clipboard Toggle word wrap

   2. LDAP 서버가 server.ad.example.com 과 같이 AD(Active Directory) DC(Domain Controller)인 경우 호스트에 대한 Kerberos 티켓을 검색하고 호스트 Kerberos 주체로 데이터베이스 검색을 수행합니다.

      [user@client ~]$ kinit -k 'CLIENT$@AD.EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.ad.example.com -b “dc=example,dc=com” sAMAccountname=<idm_user>

      Copy to Clipboard Toggle word wrap

   3. LDAP 서버가 일반 LDAP 서버이고 sssd.conf 파일에서 ldap_default_bind_dn 및 ldap_default_authtok 옵션을 설정한 경우 동일한 ldap_default_bind_dn 계정으로 인증합니다.

      [user@client ~]$ ldapsearch -xLLL -D "cn=ldap_default_bind_dn_value" -W -h ldapserver.example.com -b “dc=example,dc=com” uid=<idm_user>

      Copy to Clipboard Toggle word wrap

   이 단계가 실패하면 데이터베이스 설정을 통해 호스트에서 LDAP 서버를 검색할 수 있는지 확인합니다.

5. SSSD 서비스는 Kerberos 암호화를 사용하므로 로그인할 수 없는 사용자로 Kerberos 티켓을 얻을 수 있는지 확인합니다.

   1. LDAP 서버가 IdM 서버인 경우:

      [user@client ~]$ kinit <idm_user>

      Copy to Clipboard Toggle word wrap

   2. LDAP 서버 데이터베이스가 AD 서버인 경우:

      [user@client ~]$ kinit <ad_user@AD.EXAMPLE.COM>

      Copy to Clipboard Toggle word wrap

   이 단계가 실패하면 Kerberos 서버가 올바르게 작동하고 모든 서버의 시간이 동기화되며 사용자 계정이 잠겨 있지 않은지 확인합니다.

6. 명령줄에 대한 사용자 정보를 검색할 수 있는지 확인합니다.

   [user@client ~]$ getent passwd <idm_user>
   [user@client ~]$ id <idm_user>

   Copy to Clipboard Toggle word wrap

   이 단계가 실패하면 클라이언트의 SSSD 서비스가 사용자 데이터베이스에서 정보를 수신할 수 있는지 확인합니다.

   1. /var/log/messages 로그 파일의 오류를 검토합니다.
   2. SSSD 서비스에서 자세한 로깅을 활성화하고 디버깅 로그를 수집한 다음 로그에서 문제 소스에 대한 표시를 확인합니다.
   3. 선택 사항: Red Hat 기술 지원 케이스를 열고 수집한 문제 해결 정보를 제공합니다.

7. 호스트에 대한 sudo 권한이 있는 경우 sssctl 유틸리티를 사용하여 사용자가 로그인할 수 있는지 확인합니다.

   [user@client ~]$ sudo sssctl user-checks -a auth -s ssh <idm_user>

   Copy to Clipboard Toggle word wrap

   이 단계가 실패하면 PAM 구성, IdM HBAC 규칙 및 IdM RBAC 규칙과 같은 인증 설정을 확인합니다.

   1. 사용자의 UID가 /etc/login.defs 파일에 정의되어 있는 UID_MIN 보다 크거나 같은지 확인합니다.
   2. /var/log/secure 및 /var/log /messages 로그 파일에서 인증 오류를 검토합니다.
   3. SSSD 서비스에서 자세한 로깅을 활성화하고 디버깅 로그를 수집한 다음 로그에서 문제 소스에 대한 표시를 확인합니다.
   4. 선택 사항: Red Hat 기술 지원 케이스를 열고 수집한 문제 해결 정보를 제공합니다.

절차

1. 텍스트 편집기에서 /etc/sssd/sssd.conf 파일을 엽니다.

2. 파일의 모든 섹션에 debug_level 옵션을 추가하고 debug 수준을 선택한 상세 정보로 설정합니다.

   [domain/<domain_name>]
   debug_level = 6
   id_provider = ipa
   ...
   
   [sssd]
   debug_level = 6
   services = nss, pam, ifp, ssh, sudo
   domains = <domain_name>
   
   [nss]
   debug_level = 6
   
   [pam]
   debug_level = 6
   
   [sudo]
   debug_level = 6
   
   [ssh]
   debug_level = 6
   
   [pac]
   debug_level = 6
   
   [ifp]
   debug_level = 6

   Copy to Clipboard Toggle word wrap
3. sssd.conf 파일을 저장하고 닫습니다.

4. SSSD 서비스를 다시 시작하여 새 구성 설정을 로드합니다.

   [root@server ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. IdM 서버에서 자세한 SSSD 디버그 로깅을 활성화합니다.

   [root@server ~]# sssctl debug-level 6

   Copy to Clipboard Toggle word wrap

2. 인증 문제가 발생한 사용자에 대해 SSSD 캐시에 있는 개체를 무효화하므로 LDAP 서버를 우회하지 않고 SSSD에 이미 캐시된 정보를 검색하지 않습니다.

   [root@server ~]# sssctl cache-expire -u <idm_user>

   Copy to Clipboard Toggle word wrap

3. 이전 SSSD 로그를 제거하여 문제 해결 최소화.

   [root@server ~]# sssctl logs-remove

   Copy to Clipboard Toggle word wrap

4. 시도 전후에 타임 스탬프를 수집하는 동안 인증 문제가 발생한 사용자로 전환하십시오. 이러한 타임스탬프는 데이터 공간의 범위를 더 좁힙니다.

   [root@server sssd]# date; su <idm_user>; date
   Mon Mar 29 15:33:48 EDT 2021
   su: user idm_user does not exist
   Mon Mar 29 15:33:49 EDT 2021

   Copy to Clipboard Toggle word wrap

5. 선택 사항: 자세한 SSSD 로그를 계속 수집하지 않으려면 디버그 수준을 낮추십시오.

   [root@server ~]# sssctl debug-level 2

   Copy to Clipboard Toggle word wrap

6. 실패한 요청에 대한 정보는 SSSD 로그를 검토합니다. 예를 들어, /var/log/sssd/sssd_example.com.log 파일을 검토하면 SSSD 서비스에서 cn=accounts,dc=example,dc=com LDAP 하위 트리에서 사용자를 찾지 못했음을 확인할 수 있습니다. 이는 사용자가 없거나 다른 위치에 있음을 나타낼 수 있습니다.

   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [dp_get_account_info_send] (0x0200): Got request for [0x1][BE_REQ_USER][name=idm_user@example.com]
   ...
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_get_generic_ext_step] (0x0400): calling ldap_search_ext with [(&(uid=idm_user)(objectclass=posixAccount)(uid=)(&(uidNumber=)(!(uidNumber=0))))][cn=accounts,dc=example,dc=com].
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_get_generic_op_finished] (0x0400): Search result: Success(0), no errmsg set
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sdap_search_user_process] (0x0400): Search for users, returned 0 results.
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_search_by_name] (0x0400): No such entry
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_delete_user] (0x0400): Error: 2 (No such file or directory)
   (Mon Mar 29 15:33:48 2021) [sssd[be[example.com]]] [sysdb_search_by_name] (0x0400): No such entry
   (Mon Mar 29 15:33:49 2021) [sssd[be[example.com]]] [ipa_id_get_account_info_orig_done] (0x0080): Object not found, ending request

   Copy to Clipboard Toggle word wrap

7. 인증 문제의 원인을 확인할 수 없는 경우:

   1. 최근에 생성한 SSSD 로그를 수집합니다.

      [root@server ~]# sssctl logs-fetch sssd-logs-Mar29.tar

      Copy to Clipboard Toggle word wrap

   2. Red Hat 기술 지원 케이스를 열고 다음을 제공합니다.

      1. SSSD 로그: sssd-logs-Mar29.tar

      2. 로그에 해당하는 요청의 타임스탬프 및 사용자 이름을 포함한 콘솔 출력입니다.

         [root@server sssd]# date; id <idm_user>; date
         Mon Mar 29 15:33:48 EDT 2021
         id: 'idm_user': no such user
         Mon Mar 29 15:33:49 EDT 2021

         Copy to Clipboard Toggle word wrap

절차

1. 클라이언트에서 다음을 수행합니다. 텍스트 편집기에서 /etc/sssd/sssd.conf 파일을 엽니다.

2. 클라이언트에서 다음을 수행합니다. 파일의 [domain] 섹션에 ipa_server 옵션을 추가하고 FQDN(정규화된 도메인 이름)을 사용하여 IdM 서버로 설정합니다. 이렇게 하면 IdM 클라이언트가 다른 IdM 서버를 자동으로 검색하지 않으므로 이 테스트가 하나의 클라이언트와 서버로만 제한됩니다.

   [domain/<idm_domain_name>]
   ipa_server = <idm_server_fqdn>
   ...

   Copy to Clipboard Toggle word wrap
3. 클라이언트에서 다음을 수행합니다. sssd.conf 파일을 저장하고 닫습니다.

4. 클라이언트에서 다음을 수행합니다. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@client ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

5. 서버 및 클라이언트에서 다음을 수행합니다. 자세한 SSSD 디버그 로깅을 활성화합니다.

   [root@server ~]# sssctl debug-level 6

   Copy to Clipboard Toggle word wrap

   [root@client ~]# sssctl debug-level 6

   Copy to Clipboard Toggle word wrap

6. 서버 및 클라이언트에서 다음을 수행합니다. 인증 문제가 발생한 사용자에게 SSSD 캐시에 있는 개체를 무효화하므로 LDAP 데이터베이스를 우회하지 않고 SSSD에 이미 캐시된 정보를 검색하지 않습니다.

   [root@server ~]# sssctl cache-expire -u <idm_user>

   Copy to Clipboard Toggle word wrap

   [root@client ~]# sssctl cache-expire -u <idm_user>

   Copy to Clipboard Toggle word wrap

7. 서버 및 클라이언트에서 다음을 수행합니다. 이전 SSSD 로그를 제거하여 문제 해결 최소화.

   [root@server ~]# sssctl logs-remove

   Copy to Clipboard Toggle word wrap

   [root@server ~]# sssctl logs-remove

   Copy to Clipboard Toggle word wrap

8. 클라이언트에서 다음을 수행합니다. 시도 전후에 타임스탬프를 수집하는 동안 인증 문제가 발생한 사용자로 전환합니다. 이러한 타임스탬프는 데이터 공간의 범위를 더 좁힙니다.

   [root@client sssd]# date; su <idm_user>; date
   Mon Mar 29 16:20:13 EDT 2021
   su: user idm_user does not exist
   Mon Mar 29 16:20:14 EDT 2021

   Copy to Clipboard Toggle word wrap

9. 선택 사항: 서버 및 클라이언트에서 다음을 수행합니다. 자세한 SSSD 로그를 계속 수집하지 않으려면 디버그 수준을 낮추십시오.

   [root@server ~]# sssctl debug-level 0

   Copy to Clipboard Toggle word wrap

   [root@client ~]# sssctl debug-level 0

   Copy to Clipboard Toggle word wrap

10. 서버 및 클라이언트에서 다음을 수행합니다. 실패한 요청에 대한 정보는 SSSD 로그를 검토합니다.

    1. 클라이언트 로그에서 클라이언트의 요청을 검토합니다.
    2. 서버 로그에서 클라이언트의 요청을 검토합니다.
    3. 서버 로그에서 요청 결과를 검토합니다.
    4. 서버에서 요청의 결과를 수신한 클라이언트의 결과를 검토합니다.

11. 인증 문제의 원인을 확인할 수 없는 경우:

    1. IdM 서버 및 IdM 클라이언트에서 최근에 생성한 SSSD 로그를 수집합니다. 호스트 이름 또는 역할에 따라 레이블을 지정합니다.

       [root@server ~]# sssctl logs-fetch sssd-logs-server-Mar29.tar

       Copy to Clipboard Toggle word wrap

       [root@client ~]# sssctl logs-fetch sssd-logs-client-Mar29.tar

       Copy to Clipboard Toggle word wrap

    2. Red Hat 기술 지원 케이스를 열고 다음을 제공합니다.

       1. SSSD 디버그 로그:

          1. sssd-logs-server-Mar29.tar 서버에서
          2. 클라이언트에서 sssd-logs-client-Mar29.tar

       2. 로그에 해당하는 요청의 타임스탬프 및 사용자 이름을 포함한 콘솔 출력입니다.

          [root@client sssd]# date; su <idm_user>; date
          Mon Mar 29 16:20:13 EDT 2021
          su: user idm_user does not exist
          Mon Mar 29 16:20:14 EDT 2021

          Copy to Clipboard Toggle word wrap