7.15. AD 서버 검색 및 선호도
서버 검색 및 선호도 구성은 IdM(Identity Management) 클라이언트가 IdM과 AD 간의 교차 포리스트 신뢰에서 통신하는 AD(Active Directory) 서버에 영향을 미칩니다.
동일한 지리적 위치에 있는 서버를 선호하도록 클라이언트를 구성하면 클라이언트가 다른 원격 데이터 센터의 서버에 연결할 때 발생하는 시간 지연 및 기타 문제를 방지할 수 있습니다. 클라이언트가 로컬 서버와 통신하는지 확인하려면 다음을 확인해야 합니다.
- 클라이언트는 LDAP 및 Kerberos를 통해 로컬 IdM 서버와 통신
- 클라이언트가 Kerberos를 통해 로컬 AD 서버와 통신
- IdM 서버의 내장 클라이언트는 LDAP 및 Kerberos를 통해 로컬 AD 서버와 통신합니다.
로컬 IdM 서버와의 통신을 위해 IdM 클라이언트에서 LDAP 및 Kerberos 구성 옵션
- 통합 DNS에서 IdM을 사용하는 경우
기본적으로 클라이언트는 DNS 레코드를 기반으로 자동 서비스 조회를 사용합니다. 이 설정에서 DNS 위치 기능을 사용하여 DNS 기반 서비스 검색을 구성할 수도 있습니다.
자동 조회를 덮어쓰려면 다음 방법 중 하나에서 DNS 검색을 비활성화할 수 있습니다.
- 명령줄에서 장애 조치 매개 변수를 제공하여 IdM 클라이언트 설치 중
- SSSD(System Security Services Daemon) 구성을 수정하여 클라이언트 설치 후
- 통합된 DNS 없이 IdM을 사용하는 경우
다음 방법 중 하나로 명시적으로 클라이언트를 구성해야 합니다.
- 명령줄에서 장애 조치 매개 변수를 제공하여 IdM 클라이언트 설치 중
- SSSD 구성을 수정하여 클라이언트 설치 후
로컬 AD 서버와의 통신을 위해 IdM 클라이언트에 Kerberos를 구성하는 옵션
IdM 클라이언트는 통신할 AD 서버를 자동으로 검색할 수 없습니다. AD 서버를 수동으로 지정하려면 krb5.conf 파일을 수정합니다.
- AD 영역 정보 추가
- 통신할 AD 서버를 명시적으로 나열합니다.
예를 들어 다음과 같습니다.
[realms]
AD.EXAMPLE.COM = {
kdc = server1.ad.example.com
kdc = server2.ad.example.com
}Kerberos 및 LDAP를 통한 로컬 AD 서버와의 통신을 위해 IdM 서버에 포함된 클라이언트를 구성하는 옵션
IdM 서버에 포함된 클라이언트는 AD 서버의 클라이언트로도 작동합니다. 적절한 AD 사이트를 자동으로 검색하고 사용할 수 있습니다.
포함된 클라이언트가 검색을 수행할 때 먼저 원격 위치에서 AD 서버를 검색할 수 있습니다. 원격 서버에 연결하려고 하면 클라이언트가 연결을 설정하지 않고 작업을 중지할 수 있습니다. 클라이언트의 sssd.conf 파일에서 dns_resolver_timeout 옵션을 사용하여 클라이언트가 DNS 확인자에서 응답을 기다리는 시간을 늘립니다. 자세한 내용은 sssd.conf(5) 매뉴얼 페이지를 참조하십시오.
포함된 클라이언트가 로컬 AD 서버와 통신하도록 구성되면 SSSD는 포함된 클라이언트가 속한 AD 사이트를 기억합니다. SSSD는 일반적으로 로컬 도메인 컨트롤러에 LDAP ping을 직접 전송하여 사이트 정보를 새로 고침합니다. 사이트가 더 이상 존재하지 않거나 클라이언트가 다른 사이트에 할당된 경우 SSSD는 overflow에서 SRV 레코드를 조회하기 시작하고 자동 검색 전체 프로세스를 거칩니다.
sssd.conf 에서 신뢰할 수 있는 도메인 섹션을 사용하면 기본적으로 자동으로 검색되는 일부 정보를 명시적으로 덮어쓸 수도 있습니다.
