IdM과 AD 간 신뢰 설치

절차

1. 그룹 정책 관리 콘솔을 엽니다.
2. 기본 도메인 정책에서 마우스 오른쪽 버튼으로 클릭하여 편집을 선택합니다. 그룹 정책 관리 편집기가 열립니다.
3. 컴퓨터 구성 → 정책 → Windows 설정 → 보안 설정 → 로컬 정책 → 보안 옵션으로 이동합니다.
4. 네트워크 보안을 두 번 클릭합니다. Kerberos 정책에 허용된 암호화 유형을 구성합니다.
5. AES256_HMAC_SHA1을 선택하고 선택적으로 Future 암호화 유형을 선택합니다.
6. OK를 클릭합니다.
7. 그룹 정책 관리 편집기를 종료합니다.
8. 기본 도메인 컨트롤러 정책에 대한 단계를 반복합니다.

9. Windows 도메인 컨트롤러(DC)가 그룹 정책을 자동으로 적용할 때까지 기다립니다. 또는 DC에서 GPO를 수동으로 적용하려면 관리자 권한이 있는 계정을 사용하여 다음 명령을 입력합니다.

   C:\> gpupdate /force /target:computer

   Copy to Clipboard Toggle word wrap

절차

1. update-crypto-policies 명령을 사용하여 LEGACY 암호화 정책 외에도 AD-SUPPORT-LEGACY 암호화 하위 정책을 활성화합니다.

   [root@host ~]# update-crypto-policies --set LEGACY:AD-SUPPORT-LEGACY
   Setting system policy to LEGACY:AD-SUPPORT-LEGACY
   Note: System-wide crypto policies are applied on application start-up.
   It is recommended to restart the system for the change of policies
   to fully take place.

   Copy to Clipboard Toggle word wrap
2. 호스트를 다시 시작합니다.

절차

1. 관리자 권한으로 IdM 웹 UI에 로그인합니다.
2. Network Services 탭을 클릭합니다.
3. DNS 탭을 클릭합니다.

4. 드롭다운 메뉴에서 DNS 전달 영역을 클릭합니다.

   

5. Add(추가 ) 단추를 클릭합니다.
6. DNS 전달 영역 추가 대화 상자에서 영역 이름을 추가합니다.
7. Zone forwarders 항목에서 Add 버튼을 클릭합니다.
8. Zone forwarders 필드에서 전달 영역을 생성할 서버의 IP 주소를 추가합니다.

9. Add(추가 ) 단추를 클릭합니다.

   

절차

1. Windows Server에 로그인합니다.
2. Server Manager 를 엽니다.
3. DNS 관리자를 엽니다.

4. Conditional Forwarders 에서 다음을 사용하여 새 조건부 전달자를 추가합니다.

   • IdM 서버 IP 주소
   • 정규화된 도메인 이름(예: server.idm.example.com)
5. 설정을 저장합니다.

절차

1. UDP를 통한 Kerberos 및 TCP 서비스 레코드를 통해 LDAP에 대한 DNS 쿼리를 실행합니다.

   [admin@server ~]# dig +short -t SRV _kerberos._udp.idm.example.com.
   0 100 88 server.idm.example.com.
   
   [admin@server ~]# dig +short -t SRV _ldap._tcp.idm.example.com.
   0 100 389 server.idm.example.com.

   Copy to Clipboard Toggle word wrap

   이 명령은 IdM 서버의 SRV 레코드를 반환합니다.

2. IdM Kerberos 영역 이름으로 TXT 레코드에 대한 DNS 쿼리를 실행합니다. 반환된 값은 IdM을 설치할 때 지정한 Kerberos 영역과 일치해야 합니다.

   [admin@server ~]# dig +short -t TXT _kerberos.idm.example.com.
   "IDM.EXAMPLE.COM"

   Copy to Clipboard Toggle word wrap

   이전 단계에서 예상되는 모든 레코드를 반환하지 않으면 누락된 레코드로 DNS 구성을 업데이트합니다.

   • IdM 환경에서 통합 DNS 서버를 사용하는 경우 시스템 레코드를 업데이트할 옵션 없이 ipa dns-update-system-annotations 명령을 입력합니다.

     [admin@server ~]$ ipa dns-update-system-records

     Copy to Clipboard Toggle word wrap

   • IdM 환경에서 통합 DNS 서버를 사용하지 않는 경우:

     1. IdM 서버에서 IdM DNS 레코드를 파일로 내보냅니다.

        [admin@server ~]$ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate

        Copy to Clipboard Toggle word wrap

        이 명령은 관련 IdM DNS 레코드를 사용하여 dns_annotations_file.nsupdate 라는 파일을 생성합니다.

     2. nsupdate 유틸리티 및 dns_records_file.nsupdate 파일을 사용하여 DNS 서버에 DNS 업데이트 요청을 제출합니다. 자세한 내용은 RHEL 7 설명서에서 nsupdate를 사용하여 외부 DNS 레코드 업데이트에서 참조하십시오. 또는 DNS 레코드를 추가하기 위한 DNS 서버 설명서를 참조하십시오.

3. IdM이 Kerberos 및 TCP 서비스 레코드를 통해 LDAP에 대한 DNS 쿼리를 실행하는 명령을 사용하여 AD의 서비스 레코드를 확인할 수 있는지 확인합니다.

   [admin@server ~]# dig +short -t SRV _kerberos._tcp.dc._msdcs.ad.example.com.
   0 100 88 addc1.ad.example.com.
   
   [admin@server ~]# dig +short -t SRV _ldap._tcp.dc._msdcs.ad.example.com.
   0 100 389 addc1.ad.example.com.

   Copy to Clipboard Toggle word wrap

절차

1. SSSD(System Security Services Daemon)가 IdM 서버와 통신할 수 있도록 --domain=IPA_DNS_Domain 옵션으로 IdM 클라이언트를 설치합니다.

   [root@idm-client.ad.example.com ~]# ipa-client-install --domain=idm.example.com

   Copy to Clipboard Toggle word wrap

   이 옵션은 Active Directory DNS 도메인에 대한 SRV 레코드 자동 감지를 비활성화합니다.

2. /etc/krb5.conf 구성 파일을 열고 [domain_realm] 섹션에서 Active Directory 도메인의 기존 매핑을 찾습니다.

   .ad.example.com = IDM.EXAMPLE.COM
   ad.example.com = IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

3. 두 행을 Active Directory DNS 영역에 있는 Linux 클라이언트의 FQDN(정규화된 도메인 이름)과 IdM 영역을 매핑하는 항목으로 바꿉니다.

   idm-client.ad.example.com = IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

   기본 매핑을 대체하면 Kerberos가 Active Directory 도메인에 대한 요청을 IdM Kerberos 배포 센터(KDC)로 전송하지 못합니다. 대신 Kerberos는 SRV DNS 레코드를 통한 자동 검색을 사용하여 KDC를 찾습니다.

절차

1. IdM 서버에 새 호스트 오브젝트를 생성합니다.

   [root@idm-server.idm.example.com ~]# ipa host-add idm-client.ad.example.com --force

   Copy to Clipboard Toggle word wrap

   호스트 이름은 A/AAAA 레코드가 아닌 CNAME이므로 --force 옵션을 사용합니다.

2. IdM 서버에서 IdM DNS 호스트 이름이 IdM 데이터베이스의 Active Directory 호스트 항목을 관리할 수 있도록 허용합니다.

   [root@idm-server.idm.example.com ~]# ipa host-add-managedby idm-client.ad.example.com \
         --hosts=idm-client.idm.example.com

   Copy to Clipboard Toggle word wrap

3. 이제 Active Directory DNS 도메인 내의 호스트 이름에 대해 dNSName 확장 레코드를 사용하여 IdM 클라이언트의 SSL 인증서를 요청할 수 있습니다.

   [root@idm-client.idm.example.com ~]# ipa-getcert request -r \
         -f /etc/httpd/alias/server.crt \
         -k /etc/httpd/alias/server.key \
         -N CN=`hostname --fqdn` \
         -D `hostname --fqdn` \
         -D idm-client.ad.example.com \
         -K host/idm-client.idm.example.com@IDM.EXAMPLE.COM \
         -U id-kp-serverAuth

   Copy to Clipboard Toggle word wrap

절차

1. 필수 패키지를 설치합니다.

   [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client

   Copy to Clipboard Toggle word wrap

2. IdM 관리자로 인증합니다.

   [root@ipaserver ~]# kinit admin

   Copy to Clipboard Toggle word wrap

3. ipa-adtrust-install 유틸리티를 실행합니다.

   [root@ipaserver ~]# ipa-adtrust-install

   Copy to Clipboard Toggle word wrap

   IdM이 통합된 DNS 서버와 함께 설치된 경우 DNS 서비스 레코드가 자동으로 생성됩니다.

   통합된 DNS 서버 없이 IdM을 설치한 경우, ipa-adtrust-install 은 DNS에 수동으로 추가해야 하는 서비스 레코드 목록을 인쇄합니다.

4. 스크립트에서 /etc/samba/smb.conf 가 이미 존재하고 다시 작성됨을 묻는 메시지를 표시합니다.

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

   Copy to Clipboard Toggle word wrap

5. 스크립트에서 이전 Linux 클라이언트가 신뢰할 수 있는 사용자로 작업할 수 있는 호환성 플러그인인 slapi-nis 플러그인을 구성하도록 프롬프트를 표시합니다.

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

   Copy to Clipboard Toggle word wrap

6. SID 생성 작업을 실행하여 기존 사용자의 SID를 생성하라는 메시지가 표시됩니다.

   Do you want to run the ipa-sidgen task? [no]: yes

   Copy to Clipboard Toggle word wrap

   이는 리소스 집약적인 작업이므로 사용자가 많은 경우 한 번에 이 작업을 실행할 수 있습니다.

7. 선택 사항: 기본적으로 Dynamic RPC 포트 범위는 Windows Server 2008 이상에서는 49152-65535 로 정의됩니다. 환경에 대해 다른 Dynamic RPC 포트 범위를 정의해야 하는 경우 다른 포트를 사용하도록 Samba를 구성하고 방화벽 설정에서 해당 포트를 엽니다. 다음 예제에서는 포트 범위를 55000-65000으로 설정합니다.

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

8. 신뢰의 DNS 구성 확인에 설명된 대로 DNS가 올바르게 구성되었는지 확인합니다.

   중요

   ipa-adtrust-install 을 실행한 후 언제든지 DNS 구성 확인에 설명된 대로 DNS 구성을 확인하는 것이 좋습니다(특히 IdM 또는 AD에서 통합 DNS 서버를 사용하지 않는 경우).

9. ipa 서비스를 다시 시작하십시오.

   [root@ipaserver ~]# ipactl restart

   Copy to Clipboard Toggle word wrap

10. smbclient 유틸리티를 사용하여 Samba가 IdM 측에서 Kerberos 인증에 응답하는지 확인합니다.

    [root@ipaserver ~]# smbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=required
    lp_load_ex: changing to config backend registry
        Sharename       Type      Comment
        ---------       ----      -------
        IPC$            IPC       IPC Service (Samba 4.15.2)
    ...

    Copy to Clipboard Toggle word wrap

절차

1. IdM 웹 UI에서 IPA 서버 탭을 클릭합니다.
2. IPA 서버 탭에서 신뢰 탭을 클릭합니다.

3. 드롭다운 메뉴에서 신뢰 옵션을 선택합니다.

   

4. Add(추가 ) 단추를 클릭합니다.
5. 신뢰 추가 대화 상자에서 Active Directory 도메인 이름을 입력합니다.

6. 계정 및 암호 필드에 Active Directory 관리자의 관리자 자격 증명을 추가합니다.

   

7. 선택 사항: AD 사용자 및 그룹이 IdM의 리소스에 액세스할 수 있도록 하려면 양방향 신뢰 를 선택합니다. 그러나 IdM의 양방향 신뢰는 사용자에게 AD의 단방향 신뢰 솔루션에 비해 추가 권한을 부여하지 않습니다. 두 솔루션 모두 기본 크로스 포리스트 트러스트 필터링 설정으로 인해 동일하게 간주됩니다.
8. 선택 사항: AD 포리스트의 루트 도메인이 아닌 AD 도메인의 신뢰를 구성하는 경우 외부 신뢰를 선택합니다. 포리스트 신뢰는 항상 IdM과 Active Directory 포리스트의 루트 도메인 간의 신뢰를 구축해야 하지만, AD 포리스트에 있는 모든 도메인에 대한 외부 트러스트를 IdM에서 모든 도메인으로 설정할 수 있습니다.

9. 선택 사항: 기본적으로 신뢰 설치 스크립트는 적절한 ID 범위 유형을 검색하려고 합니다. 다음 옵션 중 하나를 선택하여 ID 범위 유형을 명시적으로 설정할 수도 있습니다.

   1. SSSD가 해당ECDHE를 기반으로 AD 사용자에 대한 UID 및 GID를 자동으로 생성하려면 Active Directory 도메인 ID 범위 유형을 선택합니다. 가장 일반적인 구성입니다.

   2. Active Directory에서 사용자의 POSIX 속성을 구성하고(예: uidNumber 및 gidNumber) SSSD에서 이 정보를 처리하려면 POSIX 속성 ID 범위 유형이 있는 Active Directory 도메인 을 선택합니다.

      

      주의

      기본 Detect 옵션에 Range 유형 설정을 남겨 두면 IdM에서 포리스트 루트 도메인의 AD 도메인 컨트롤러에서 세부 정보를 요청하여 적절한 범위 유형을 자동으로 선택합니다. IdM에서 POSIX 속성을 감지하지 않으면 신뢰 설치 스크립트에서 Active Directory 도메인 ID 범위를 선택합니다.

      IdM이 포리스트 루트 도메인에서 POSIX 속성을 감지하면 신뢰 설치 스크립트에서 POSIX 속성 ID 범위가 있는 Active Directory 도메인 을 선택하고 UID 및 GID가 AD에 올바르게 정의되어 있다고 가정합니다. AD에서 POSIX 속성이 올바르게 설정되지 않은 경우 AD 사용자를 확인할 수 없습니다.

      예를 들어 IdM 시스템에 액세스해야 하는 사용자 및 그룹이 포리스트 루트 도메인의 일부가 아니라 포리스트 도메인의 하위 도메인에 있는 경우 설치 스크립트가 하위 AD 도메인에 정의된 POSIX 특성을 감지하지 못할 수 있습니다. 이 경우 신뢰를 설정할 때 POSIX ID 범위 유형을 명시적으로 선택합니다.

10. 추가를 클릭합니다.

절차

1. ~/MyPlaybooks/ 디렉터리로 이동합니다.

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. 사용 사례에 따라 다음 시나리오 중 하나를 선택합니다.

   • ID 매핑 신뢰 계약을 생성하려면 SSSD에서 libc를 기반으로 AD 사용자 및 그룹의 UID 및 GID를 자동으로 생성하는 경우 다음 콘텐츠를 사용하여 add-trust.yml 플레이북을 생성합니다.

     ---
     - name: Playbook to create a trust
       hosts: ipaserver
     
       vars_files:
       - /home/user_name/MyPlaybooks/secret.yml
       tasks:
         - name: ensure the trust is present
           ipatrust:
             ipaadmin_password: "{{ ipaadmin_password }}"
             realm: ad.example.com
             admin: Administrator
             password: secret_password
             state: present

     Copy to Clipboard Toggle word wrap

     예에서는 다음을 수행합니다.

     • realm 은 AD 영역 이름 문자열을 정의합니다.
     • admin 은 AD 도메인 관리자 문자열을 정의합니다.
     • password 는 AD 도메인 관리자의 암호 문자열을 정의합니다.

   • POSIX 신뢰 계약을 만들려면 SSSD에서 AD에 저장된 POSIX 속성(예: uidNumber 및 gidNumber )을 처리하는 경우 다음 콘텐츠를 사용하여 add-trust.yml 플레이북을 만듭니다.

     ---
     - name: Playbook to create a trust
       hosts: ipaserver
     
       vars_files:
       - /home/user_name/MyPlaybooks/secret.yml
       tasks:
         - name: ensure the trust is present
           ipatrust:
             ipaadmin_password: "{{ ipaadmin_password }}"
             realm: ad.example.com
             admin: Administrator
             password: secret_password
             range_type: ipa-ad-trust-posix
             state: present

     Copy to Clipboard Toggle word wrap

   • VirtIO 루트 도메인의 AD 도메인 컨트롤러에서 다음 콘텐츠를 사용하여 세부 정보를 요청하여 IdM에서 적절한 범위 유형, ipa-ad-trust 또는 ipa-ad-trust-posix 를 자동으로 선택하려는 신뢰 계약을 생성하려면 다음 콘텐츠를 사용하여 add-trust.yml 플레이북을 생성합니다.

     ---
     - name: Playbook to create a trust
       hosts: ipaserver
     
       vars_files:
       - /home/user_name/MyPlaybooks/secret.yml
       tasks:
         - name: ensure the trust is present
           ipatrust:
             ipaadmin_password: "{{ ipaadmin_password }}"
             realm: ad.example.com
             admin: Administrator
             password: secret_password
             state: present

     Copy to Clipboard Toggle word wrap
   주의

   신뢰를 생성할 때 ID 범위 유형을 지정하지 않고 IdM에서 AD forest 루트 도메인의 POSIX 속성을 검색하지 않으면 신뢰 설치 스크립트에서 Active Directory 도메인 ID 범위를 선택합니다.

   IdM이 포리스트 루트 도메인에서 POSIX 속성을 감지하면 신뢰 설치 스크립트에서 POSIX 속성 ID 범위가 있는 Active Directory 도메인 을 선택하고 UID 및 GID가 AD에 올바르게 정의되어 있다고 가정합니다.

   그러나 POSIX 속성이 AD에서 올바르게 설정되지 않으면 AD 사용자를 확인할 수 없습니다. 예를 들어 IdM 시스템에 액세스해야 하는 사용자 및 그룹이 포리스트 루트 도메인의 일부가 아니라 포리스트 도메인의 하위 도메인에 있는 경우 설치 스크립트가 하위 AD 도메인에 정의된 POSIX 특성을 감지하지 못할 수 있습니다. 이 경우 신뢰를 설정할 때 POSIX ID 범위 유형을 명시적으로 선택합니다.

3. 파일을 저장합니다.

4. Ansible 플레이북을 실행합니다. Playbook 파일, secret.yml 파일을 보호하는 암호를 저장하는 파일, 인벤토리 파일을 지정합니다.

   $ ansible-playbook --vault-password-file=password_file -v -i inventory add-trust.yml

   Copy to Clipboard Toggle word wrap

절차

1. AD(Active Directory) 사용자의 티켓을 요청하십시오.

   [root@ipaserver ~]# kinit user@AD.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

2. IdM 도메인 내의 서비스에 대한 서비스 티켓을 요청하십시오.

   [root@server ~]# kvno -S host server.idm.example.com

   Copy to Clipboard Toggle word wrap

   AD 서비스 티켓이 성공적으로 승인되면 요청된 다른 모든 티켓과 함께 TGT(Cross-realm ticket-granting ticket)가 표시됩니다. TGT의 이름은ECDHEtECDHE/IPA.DOMAIN@AD.DOMAIN입니다.

절차

1. UDP를 통한 MS DC Kerberos 및 TCP 서비스 레코드를 통해 LDAP에 대한 DNS 쿼리를 실행합니다.

   [root@server ~]# dig +short -t SRV _kerberos._udp.dc._msdcs.idm.example.com.
   0 100 88 server.idm.example.com.
   
   [root@server ~]# dig +short -t SRV _ldap._tcp.dc._msdcs.idm.example.com.
   0 100 389 server.idm.example.com.

   Copy to Clipboard Toggle word wrap

   이 명령을 수행하면 ipa-adtrust-install 이 실행된 모든 IdM 서버가 나열됩니다. 일반적으로 첫 번째 신뢰 관계를 설정하기 전에 ipa-adtrust-install 이 IdM 서버에서 실행되지 않은 경우 출력이 비어 있습니다.

2. TCP 서비스 레코드를 통해 Kerberos 및 LDAP에 대한 DNS 쿼리를 실행하여 IdM이 AD의 서비스 레코드를 확인할 수 있는지 확인합니다.

   [root@server ~]# dig +short -t SRV _kerberos._tcp.dc._msdcs.ad.example.com.
   0 100 88 addc1.ad.example.com.
   
   [root@ipaserver ~]# dig +short -t SRV _ldap._tcp.dc._msdcs.ad.example.com.
   0 100 389 addc1.ad.example.com.

   Copy to Clipboard Toggle word wrap

절차

1. AD 서버에서 서비스 레코드를 조회하도록 nslookup.exe 유틸리티를 설정합니다.

   C:\>nslookup.exe
   > set type=SRV

   Copy to Clipboard Toggle word wrap

2. UDP를 통한 Kerberos의 도메인 이름과 TCP 서비스 레코드를 통한 LDAP를 입력합니다.

   > _kerberos._udp.idm.example.com.
   _kerberos._udp.idm.example.com.       SRV service location:
       priority                = 0
       weight                  = 100
       port                    = 88
       svr hostname   = server.idm.example.com
   > _ldap._tcp.idm.example.com
   _ldap._tcp.idm.example.com       SRV service location:
       priority                = 0
       weight                  = 100
       port                    = 389
       svr hostname   = server.idm.example.com

   Copy to Clipboard Toggle word wrap

3. 서비스 유형을 TXT로 변경하고 IdM Kerberos 영역 이름을 사용하여 TXT 레코드에 대한 DNS 쿼리를 실행합니다.

   C:\>nslookup.exe
   > set type=TXT
   > _kerberos.idm.example.com.
   _kerberos.idm.example.com.        text =
   
       "IDM.EXAMPLE.COM"

   Copy to Clipboard Toggle word wrap

4. UDP를 통한 MS DC Kerberos 및 TCP 서비스 레코드를 통해 LDAP에 대한 DNS 쿼리를 실행합니다.

   C:\>nslookup.exe
   > set type=SRV
   > _kerberos._udp.dc._msdcs.idm.example.com.
   _kerberos._udp.dc._msdcs.idm.example.com.        SRV service location:
       priority = 0
       weight = 100
       port = 88
       svr hostname = server.idm.example.com
   > _ldap._tcp.dc._msdcs.idm.example.com.
   _ldap._tcp.dc._msdcs.idm.example.com.        SRV service location:
       priority = 0
       weight = 100
       port = 389
       svr hostname = server.idm.example.com

   Copy to Clipboard Toggle word wrap

   Active Directory에서는 다른 AD 도메인 컨트롤러 및 IdM 신뢰 컨트롤러와 같은 AD별 프로토콜 요청에 응답할 수 있는 도메인 컨트롤러만 검색해야 합니다. ipa-adtrust-install 툴을 사용하여 IdM 서버를 신뢰 컨트롤러로 승격하고 ipa server-role-find --role 'AD trust controller' 명령을 사용하여 어떤 서버가 신뢰 컨트롤러인지 확인할 수 있습니다.

5. AD 서버에서 AD 서비스를 확인할 수 있는지 확인합니다.

   C:\>nslookup.exe
   > set type=SRV

   Copy to Clipboard Toggle word wrap

6. UDP를 통한 Kerberos의 도메인 이름과 TCP 서비스 레코드를 통한 LDAP를 입력합니다.

   > _kerberos._udp.dc._msdcs.ad.example.com.
   _kerberos._udp.dc._msdcs.ad.example.com. 	SRV service location:
       priority = 0
       weight = 100
       port = 88
       svr hostname = addc1.ad.example.com
   > _ldap._tcp.dc._msdcs.ad.example.com.
   _ldap._tcp.dc._msdcs.ad.example.com. 	SRV service location:
       priority = 0
       weight = 100
       port = 389
       svr hostname = addc1.ad.example.com

   Copy to Clipboard Toggle word wrap

절차

1. 기존 신뢰 컨트롤러에서 ipa-adtrust-install --add-agents 명령을 실행합니다.

   [root@existing_trust_controller]# ipa-adtrust-install --add-agents

   Copy to Clipboard Toggle word wrap

   명령은 대화식 구성 세션을 시작하고 에이전트를 설정하는 데 필요한 정보를 입력하라는 메시지를 표시합니다.

2. 신뢰 에이전트에서 IdM 서비스를 다시 시작합니다.

   [root@new_trust_agent]# ipactl restart

   Copy to Clipboard Toggle word wrap

3. 신뢰 에이전트의 SSSD 캐시에서 모든 항목을 제거합니다.

   [root@new_trust_agent]# sssctl cache-remove

   Copy to Clipboard Toggle word wrap

4. 복제본에 AD 신뢰 에이전트 역할이 설치되었는지 확인합니다.

   [root@existing_trust_controller]# ipa server-show new_replica.idm.example.com
   ...
   Enabled server roles: CA server, NTP server, AD trust agent

   Copy to Clipboard Toggle word wrap

절차

1. 모든 ID 범위를 표시하고 수정할 AD ID 범위를 기록해 둡니다.

   [root@server ~]# ipa idrange-find
   ----------------
   2 ranges matched
   ----------------
     Range name: IDM.EXAMPLE.COM_id_range
     First Posix ID of the range: 882200000
     Number of IDs in the range: 200000
     Range type: local domain range
   
     Range name: AD.EXAMPLE.COM_id_range
     First Posix ID of the range: 1337000000
     Number of IDs in the range: 200000
     Domain SID of the trusted domain: S-1-5-21-4123312420-990666102-3578675309
     Range type: Active Directory trust range with POSIX attributes
   ----------------------------
   Number of entries returned 2
   ----------------------------

   Copy to Clipboard Toggle word wrap

2. ipa idrange-mod 명령을 사용하여 AD ID 범위의 자동 개인 그룹 동작을 조정합니다.

   [root@server ~]# ipa idrange-mod --auto-private-groups=hybrid AD.EXAMPLE.COM_id_range

   Copy to Clipboard Toggle word wrap

3. 새 설정을 활성화하려면 SSSD 캐시를 재설정합니다.

   [root@server ~]# sss_cache -E

   Copy to Clipboard Toggle word wrap

절차

1. 사용자 이름과 암호를 사용하여 IdM 웹 UI에 로그인합니다.
2. IPA 서버 → ID 범위 탭을 엽니다.
3. 변경할 ID 범위를 선택합니다(예: AD.EXAMPLE.COM_id_range ).

4. Auto private groups 드롭다운 메뉴에서 하이브리드 옵션을 선택합니다.

   

5. 저장 버튼을 클릭하여 변경 사항을 저장합니다.

다음 단계: 명령은 설정 및 입력 확인

1. IdM 서버에 신뢰 컨트롤러 역할이 있는지 확인합니다.
2. ipa trust-add 명령에 전달된 옵션을 확인합니다.
3. 신뢰할 수 있는est 루트 도메인과 연관된 ID 범위를 검증합니다. ID 범위 유형 및 속성을 ipa trust-add 명령에 대한 옵션으로 지정하지 않은 경우 Active Directory에서 검색됩니다.

2부: 이 명령은 Active Directory 도메인에 대한 신뢰를 설정하려고 합니다.

4. 각 신뢰 방향에 대해 별도의 신뢰 개체를 만듭니다. 각 오브젝트는 양쪽(IdM 및 AD)에서 생성됩니다. 단방향 트러스트를 설정하는 경우 각 측에 하나의 개체만 생성됩니다.

5. IdM 서버는 Samba 제품군을 사용하여 Active Directory용 도메인 컨트롤러 기능을 처리하고 대상 AD PDC에서 신뢰 개체를 생성합니다.

   1. IdM 서버는 대상 DC의 IPC$ 공유에 대한 보안 연결을 설정합니다. RHEL 8.4부터 연결에는 적어도 Windows Server 2012 이상의 SMB3 프로토콜이 있어야 세션에 사용된 AES 기반 암호화를 통해 연결이 충분히 보호되도록 합니다.
   2. IdM 서버 쿼리는 LSA QueryTrustedDomainInfoByName 호출을 사용하여 신뢰할 수 있는 도메인 오브젝트(TDO)의 존재 여부를 쿼리합니다.

   3. TDO가 이미 있는 경우 LSA DeleteTrustedDomain 호출을 사용하여 제거합니다.

      참고

      이 호출은 트러스트를 설정하는 데 사용된 AD 사용자 계정에 Incoming Forest Trust Builders 그룹 멤버와 같은 forest 루트에 대한 전체 엔터프라이즈 관리자(EA) 또는 DDA(Domain Admin) 권한이 없는 경우 실패합니다. 이전 TDO가 자동으로 제거되지 않으면 AD 관리자가 AD에서 수동으로 제거해야 합니다.

   4. IdM 서버는 LSA CreateTrustedDomainEx2 호출을 사용하여 새 TDO를 생성합니다. TDO 자격 증명은 128개의 임의 문자가 있는 Samba 제공 암호 생성기를 사용하여 무작위로 생성됩니다.

   5. 그런 다음 새 TDO가 LSA SetInformationTrustedDomain 호출을 통해 수정되어 신뢰에서 지원하는 암호화 유형이 올바르게 설정됩니다.

      1. Active Directory 설계 방식으로 인해 RC4_HMAC_md5 암호화 유형이 사용 중인 RC4 키가 없는 경우에도 사용할 수 있습니다.

      2. AES128_CTS_HMAC_SHA1_96 및 AES256_CTS_HMAC_SHA1_96 암호화 유형이 활성화되어 있습니다.

         참고

         기본적으로 RHEL 9는 AD에 필요한 알고리즘인 SHA-1 암호화를 허용하지 않습니다. AD-SUPPORT 시스템 전체 암호화 하위 정책을 활성화하여 RHEL 9 IdM 서버에서 AD 도메인 컨트롤러와의 SHA-1 암호화를 허용하도록 설정해야 합니다. <link TBA>를 참조하십시오.

6. For a forest trust, verify that in-forest domains can be reachedly with an LSA SetInformationTrustedDomain call.

7. LSA RSetForestTrustInformation 호출을 사용하여 IdM과 통신할 때 AD와의 통신이 가능한 경우 다른 포리스트(IdM)에 대한 신뢰 토폴로지 정보를 추가합니다.

   참고

   이 단계는 다음 세 가지 이유 중 하나로 인해 충돌을 일으킬 수 있습니다.

   1. SID 네임스페이스 충돌은 LSA_SID_DISABLED_CONFLICT 오류로 보고됩니다. 이 충돌을 해결할 수 없습니다.
   2. OPENSHIFT 네임스페이스 충돌은 LSA_NB_DISABLED_CONFLICT 오류로 보고됩니다. 이 충돌을 해결할 수 없습니다.
   3. DNS 네임스페이스가 LSA_TLN_DISABLED_CONFLICT 오류로 보고되는 TLN(최상 수준 이름)과 충돌합니다. IdM 서버는 TLN 충돌을 자동으로 해결할 수 있습니다.

   TLN 충돌을 해결하기 위해 IdM 서버는 다음 단계를 수행합니다.

   1. 충돌하는 포리스트에 대한est 신뢰 정보를 검색합니다.
   2. IdM DNS 네임스페이스의 제외 항목을 AD forest에 추가합니다.
   3. 우리가 충돌하는 숲에 대한 도메인 신뢰 정보를 설정합니다.
   4. 이 경우, 신뢰를 원래의 숲으로 다시 형성하는 것입니다.

   IdM 서버는est 트러스트를 변경할 수 있는 AD 관리자 권한으로 ipa trust-add 명령을 인증한 경우에만 이러한 충돌을 해결할 수 있습니다. 이러한 권한에 액세스할 수 없는 경우 원래의 Specest 관리자는 Windows UI의 Active Directory Domains 및 Trusts 섹션에서 위의 단계를 수동으로 수행해야 합니다.

8. 없는 경우 신뢰할 수 있는 도메인의 ID 범위를 만듭니다.
9. est 트러스트의 경우est 루트에서 Active Directory 도메인 컨트롤러를 쿼리하여 forest 토폴로지에 대한 자세한 내용을 확인합니다.For a forest trust, query Active Directory domain controllers from the forest root for details about the forest topology. IdM 서버는 이 정보를 사용하여 신뢰할 수 있는 포리스트의 추가 도메인에 대한 추가 ID 범위를 생성합니다.

절차

1. IdM 서버에 대한 디버깅을 활성화하려면 다음 콘텐츠를 사용하여 /etc/ipa/server.conf 파일을 생성하십시오.

   [global]
   debug=True

   Copy to Clipboard Toggle word wrap

2. httpd 서비스를 다시 시작하여 디버깅 구성을 로드합니다.

   [root@trust_controller ~]# systemctl restart httpd

   Copy to Clipboard Toggle word wrap

3. smb 및 winbind 서비스를 중지합니다.

   [root@trust_controller ~]# systemctl stop smb winbind

   Copy to Clipboard Toggle word wrap

4. smb 및 winbind 서비스의 디버깅 로그 수준을 설정합니다.

   [root@trust_controller ~]# net conf setparm global 'log level' 100

   Copy to Clipboard Toggle word wrap

5. IdM 프레임워크에서 사용하는 Samba 클라이언트 코드에 대한 디버그 로깅을 활성화하려면 /usr/share/ipa/smb.conf.empty 구성 파일을 편집하여 다음 내용을 보유합니다.

       [global]
       log level = 100

   Copy to Clipboard Toggle word wrap

6. 이전 Samba 로그를 제거합니다.

   [root@trust_controller ~]# rm /var/log/samba/log.*

   Copy to Clipboard Toggle word wrap

7. smb 및 winbind 서비스를 시작합니다.

   [root@trust_controller ~]# systemctl start smb winbind

   Copy to Clipboard Toggle word wrap

8. 자세한 정보 표시 모드가 활성화된 트러스트를 설정하려고 할 때 타임스탬프를 출력합니다.

   [root@trust_controller ~]# date; ipa -vvv trust-add --type=ad ad.example.com

   Copy to Clipboard Toggle word wrap

9. 실패한 요청에 대한 정보는 다음 오류 로그 파일을 확인하십시오.

   1. /var/log/httpd/error_log
   2. /var/log/samba/log.*

10. 디버깅을 비활성화합니다.

    [root@trust_controller ~]# mv /etc/ipa/server.conf /etc/ipa/server.conf.backup
    [root@trust_controller ~]# systemctl restart httpd
    [root@trust_controller ~]# systemctl stop smb winbind
    [root@trust_controller ~]# net conf setparm global 'log level' 0
    [root@trust_controller ~]# mv /usr/share/ipa/smb.conf.empty /usr/share/ipa/smb.conf.empty.backup
    [root@trust_controller ~]# systemctl start smb winbind

    Copy to Clipboard Toggle word wrap

11. 선택 사항: 인증 문제의 원인을 확인할 수 없는 경우:

    1. 최근에 생성된 로그 파일을 수집하고 보관합니다.

       [root@trust_controller ~]# tar -cvf debugging-trust.tar /var/log/httpd/error_log /var/log/samba/log.*

       Copy to Clipboard Toggle word wrap
    2. Red Hat 기술 지원 케이스를 열고 시도 후 타임 스탬프 및 디버그 로그를 제공합니다.

1. AD 클라이언트는 ADDC(Kerberos Distribution Center)에 연결하여 IdM 도메인에서 서비스에 대한 TGS 요청을 수행합니다.
2. AD EgressIP은 서비스가 신뢰할 수 있는 IdM 도메인에 속하는지 인식합니다.
3. AD EgressIP은 클라이언트에 신뢰할 수 있는 IdM key에 대한 참조와 함께 TGT(cross-realm ticket-granting ticket)를 클라이언트에 보냅니다.
4. AD 클라이언트는 cross-realm TGT를 사용하여 IdM EgressIP에 티켓을 요청합니다.
5. IdM EgressIP은 교차 실제 TGT와 함께 전송된 Privileged Attribute Certificate (MS-PAC)의 유효성을 검사합니다.
6. IPA-KDB 플러그인은 LDAP 디렉토리를 확인하여 요청된 서비스에 대한 티켓을 받을 수 있는 외부 주체가 허용되는지 확인할 수 있습니다.
7. IPA-KDB 플러그인은 MS-PAC를 디코딩하고, 데이터를 확인하고, 필터링합니다. 로컬 그룹과 같은 추가 정보로 MS-PAC를 보강해야 하는지 확인하기 위해 LDAP 서버에서 조회를 수행합니다.
8. 그런 다음 IPA-KDB 플러그인은 PAC를 인코딩하고 서명하여 서비스 티켓에 연결한 다음 AD 클라이언트로 보냅니다.
9. 이제 AD 클라이언트에서 IdM requirements에서 발행한 서비스 티켓을 사용하여 IdM 서비스에 연결할 수 있습니다.

1. AD 클라이언트는 자체 도메인에서 AD Kerberos Distribution Center(KDC)에 연결하여 IdM 도메인에서 서비스에 대한 TGS 요청을 수행합니다.
2. 하위 도메인인 child.ad.example.com 의 AD EgressIP은 해당 서비스가 신뢰할 수 있는 IdM 도메인에 속하는지 인식합니다.
3. 하위 도메인의 AD EgressIP은 클라이언트에 AD forest root 도메인 ad.example.com 에 대한 추천 티켓을 보냅니다.
4. AD 클라이언트는 IdM 도메인의 서비스에 대한 AD forest 루트 도메인의 EgressIP에 연결합니다.
5. est 루트 도메인의 EgressIP은 서비스가 신뢰할 수 있는 IdM 도메인에 속하는 것을 인식합니다.
6. AD EgressIP은 클라이언트에 신뢰할 수 있는 IdM key에 대한 참조와 함께 TGT(cross-realm ticket-granting ticket)를 클라이언트에 보냅니다.
7. AD 클라이언트는 cross-realm TGT를 사용하여 IdM EgressIP에 티켓을 요청합니다.
8. IdM EgressIP은 교차 실제 TGT와 함께 전송된 Privileged Attribute Certificate (MS-PAC)의 유효성을 검사합니다.
9. IPA-KDB 플러그인은 LDAP 디렉토리를 확인하여 요청된 서비스에 대한 티켓을 받을 수 있는 외부 주체가 허용되는지 확인할 수 있습니다.
10. IPA-KDB 플러그인은 MS-PAC를 디코딩하고, 데이터를 확인하고, 필터링합니다. 로컬 그룹과 같은 추가 정보로 MS-PAC를 보강해야 하는지 확인하기 위해 LDAP 서버에서 조회를 수행합니다.
11. 그런 다음 IPA-KDB 플러그인은 PAC를 인코딩하고 서명하여 서비스 티켓에 연결한 다음 AD 클라이언트로 보냅니다.
12. 이제 AD 클라이언트에서 IdM requirements에서 발행한 서비스 티켓을 사용하여 IdM 서비스에 연결할 수 있습니다.

1. IdM 클라이언트는 연락처를 원하는 AD 서비스를 위해 IdM KDC(Keranting Center)에서 티켓 통합 티켓(TGT)을 요청합니다.
2. IdM EgressIP은 서비스가 AD 영역에 속하고, 영역이 알려진지, 신뢰할 수 있고 클라이언트가 해당 영역에서 서비스를 요청할 수 있는지 확인합니다.
3. IdM Directory Server의 사용자 주체에 대한 정보를 사용하여 IdM EgressIP은 사용자 주체에 대한 권한 있는 속성 인증서(MS-PAC) 레코드가 포함된 교차 실제 TGT를 생성합니다.
4. IdM key는 IdM 클라이언트에 교차 실제 TGT를 다시 보냅니다.
5. IdM 클라이언트는 AD EgressIP에 연결하여 IdM XX에서 제공하는 MS-PAC가 포함된 교차 영역 TGT를 제공하는 AD 서비스 티켓을 요청합니다.
6. AD 서버는 PAC의 유효성을 검증 및 필터링하고 AD 서비스에 대한 티켓을 반환합니다.
7. IPA 클라이언트에서 이제 AD 서비스에 연결할 수 있습니다.