5.5. 配置简单的访问提供程序规则

步骤

1. 打开 /etc/sssd/sssd.conf 文件：

2. 将 access_provider 选项设置为 simple ：

   [domain/<domain_name>]
   access_provider = simple

   Copy to Clipboard Toggle word wrap

3. 为用户定义访问控制规则。

   1. 要允许访问用户，请使用 simple_allow_users 选项。
   2. 若要拒绝用户访问，可使用 simple_deny_users 选项。
   重要

   如果您拒绝对特定用户的访问，则会自动允许对所有其他用户的访问。因此，允许访问特定用户通常被认为比拒绝对特定用户的访问更安全。

4. 定义组的访问控制规则。选择以下任意一项：

   1. 若要允许访问组，可使用 simple_allow_groups 选项。

   2. 若要拒绝对组的访问，可使用 simple_deny_groups 选项。

      重要

      如果您拒绝访问特定组，则会自动允许访问其他任何组。因此，允许访问特定组通常被认为比拒绝对特定组的访问更安全。

      例如，您可以授予 engineers 组成员对 alice、bob 和 members 的访问权限，同时拒绝访问所有其他用户：

      [domain/<domain_name>]
      access_provider = simple
      simple_allow_users = alice, bob
      simple_allow_groups = engineers

      Copy to Clipboard Toggle word wrap
      重要

      将拒绝列表保留为空可能会导致允许任何人访问。

   注意

   如果您要将可信 AD 用户添加到 simple_allow_users 列表中，请确保您使用完全限定域名(FQDN)格式，例如 aduser@ad.example.com。由于不同域中的短名称可以相同，因此这防止出现访问控制配置的问题。