7장. 신뢰에 대한 DNS 및 영역 설정 구성
IdM(Identity Management) 및 AD(Active Directory)를 신뢰에 연결하기 전에 서버가 서로 표시되는지 확인하고 도메인 이름을 올바르게 확인해야 합니다. 다음과 같이 도메인 이름을 사용할 수 있도록 DNS를 구성하려면 다음을 수행합니다.
- 통합된 DNS 서버 및 인증 기관을 사용하는 하나의 기본 IdM 서버.
- AD 도메인 컨트롤러 1개
DNS 설정에는 다음이 필요합니다.
- IdM 서버에서 DNS 영역 구성
- AD에서 조건부 DNS 전달 구성
- DNS 구성의 정확성 확인
7.1. 고유한 기본 DNS 도메인
Windows에서 모든 도메인은 Kerberos 영역과 동시에 DNS 도메인입니다. 도메인 컨트롤러에서 관리하는 모든 도메인에는 자체 전용 DNS 영역이 있어야 합니다. IdM(Identity Management)이 Active Directory(AD)에 의해 포리스트로 신뢰되는 경우에도 마찬가지입니다. AD는 IdM에 자체 DNS 도메인이 있을 것으로 예상합니다. 신뢰 설정이 작동하려면 DNS 도메인이 Linux 환경 전용이어야 합니다.
각 시스템에는 고유한 기본 DNS 도메인이 구성되어 있어야 합니다. 예를 들면 다음과 같습니다.
-
AD 및
idm.example.com for IdM용 ad.example.com -
IdM의 경우
example.com및idm.example.com -
AD 및
example.com for IdM의 경우 ad.example.com
가장 편리한 관리 솔루션은 각 DNS 도메인이 통합된 DNS 서버에서 관리되지만 다른 표준 호환 DNS 서버도 사용할 수 있는 환경입니다.
- Kerberos 영역 이름: 기본 DNS 도메인 이름의 대문자 버전
-
Kerberos 영역 이름은 모든 문자 대문자와 기본 DNS 도메인 이름과 동일해야 합니다. 예를 들어 도메인 이름이 IdM의
AD 및의 경우 Kerberos 영역 이름은idm.example.comAD.EXAMPLE.COM 및이어야 합니다.IDM.EXAMPLE.COM - 신뢰의 모든 DNS 도메인에서 DNS 레코드를 확인할 수 있음
- 모든 시스템은 신뢰 관계에 관련된 모든 DNS 도메인의 DNS 레코드를 확인할 수 있어야 합니다.
- IdM 및 AD DNS 도메인
- IdM에 연결된 시스템은 여러 DNS 도메인에 배포할 수 있습니다. Red Hat은 Active Directory가 소유한 DNS 영역에 IdM 클라이언트를 배포하는 것이 좋습니다. 기본 IdM DNS 도메인에는 AD 트러스트를 지원하기 위해 적절한 SRV 레코드가 있어야 합니다.
IdM과 Active Directory 간에 신뢰할 수 있는 일부 환경에서는 Active Directory DNS 도메인의 일부인 호스트에 IdM 클라이언트를 설치할 수 있습니다. 그러면 호스트는 Linux 중심 IdM 기능을 활용할 수 있습니다. 이는 권장되는 구성이 아니며 몇 가지 제한 사항이 있습니다. 자세한 내용은 Active Directory DNS 도메인에서 IdM 클라이언트 구성을 참조하십시오.
다음 명령을 실행하여 시스템 설정과 관련된 필요한 SRV 레코드 목록을 가져올 수 있습니다.
$ ipa dns-update-system-records --dry-run
생성된 목록은 다음과 같이 나타날 수 있습니다.
IPA DNS records: _kerberos-master._tcp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com. _kerberos-master._udp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com. _kerberos._tcp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com. _kerberos._tcp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com. _kerberos.idm.example.com. 86400 IN TXT "IDM.EXAMPLE.COM" _kpasswd._tcp.idm.example.com. 86400 IN SRV 0 100 464 server.idm.example.com. _kpasswd._udp.idm.example.com. 86400 IN SRV 0 100 464 server.idm.example.com. _ldap._tcp.idm.example.com. 86400 IN SRV 0 100 389 server.idm.example.com. _ipa-ca.idm.example.com. 86400 IN A 192.168.122.2
동일한 IdM 영역에 속하는 다른 DNS 도메인의 경우 AD에 대한 신뢰가 구성될 때 SRV 레코드를 구성할 필요가 없습니다. 이유는 AD 도메인 컨트롤러에서 SRV 레코드를 사용하여 KDC 레코드를 검색하는 대신 신뢰의 이름 접미사 라우팅 정보를 KDC 검색에 기반하기 때문입니다.
