Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

第 7 章 为信任配置 DNS 和域设置

在您连接信任中的身份管理(IdM)和活动目录(AD)之前，请确保服务器能互相看到，并能正确解析域名。

要在以下之间配置域名解析：

  • 使用集成 DNS 服务器的主 IdM 服务器和证书颁发机构(CA)之间
  • AD 域控制器

执行以下任务：

  • 在 IdM 服务器上配置 DNS 区域
  • 在 AD 服务器上配置条件 DNS 转发
  • 验证 DNS 配置的正确性

7.1. 唯一的主 DNS 域
复制链接

在 Windows 中，每个域都是一个 Kerberos 域（realm）和一个 DNS 域（domain）。每个由域控制器管理的域都需要拥有自己的专用 DNS 区。当身份管理(IdM)作为林被活动目录 (AD)信任时也是如此。AD 期望 IdM 有自己的 DNS 域。要使信任设置正常工作，DNS 域必须专用于 Linux 环境。

每个系统都必须配置自己的唯一的主 DNS 域。例如：

  • ad.example.com 用于 AD，Idm.example.com 用于 IdM。
  • example.com 用于 AD，idm.example.com 用于 IdM
  • AD的 ad.example.com 和 IdM 的 example.com

最方便的管理解决方案是，每个 DNS 域都由集成的 DNS 服务器管理，但也可以使用任何其他符合标准的 DNS 服务器。

Kerberos realm 名称作为主 DNS 域名的大写版本
Kerberos 域名称必须与主 DNS 域名匹配，且所有字母都为大写。例如，如果 AD 的域名是 ad.example.com，而 IdM的域名是 idm.example.com ，则 Kerberos 领域名称必须是 AD.EXAMPLE.COM 和 IDM.EXAMPLE.COM。
DNS 记录可从信任中的所有 DNS 域解析
所有机器必须解析信任关系所涉及的所有 DNS 域中的 DNS 记录。
IdM 和 AD DNS 域
加入 IdM 的系统可以通过多个 DNS 域进行发布。在与活动目录管理的 DNS 区域不同的 DNS 区域中部署 IdM 客户端。主 IdM DNS 域必须具有正确的 SRV 记录来支持 AD 信任。
注意

在 IdM 和 AD 之间具有信任的一些环境中，您可以在是活动目录 DNS 域的一部分的主机上安装 IdM 客户端。然后，主机可以从基于 Linux 的 IdM 功能中获益。这不是推荐的配置，存在一些限制。如需了解更多详细信息，请参阅 在活动目录 DNS 域中配置 IdM 客户端。

您可以运行以下命令来获取特定于您的系统设置所需的 SRV 记录列表： 

$ ipa dns-update-system-records --dry-run
Copy to Clipboard Toggle word wrap

生成的列表可以类似如下： 

IPA DNS records:
  _kerberos-master._tcp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com.
  _kerberos-master._udp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com.
  _kerberos._tcp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com.
  _kerberos._tcp.idm.example.com. 86400 IN SRV 0 100 88 server.idm.example.com.
  _kerberos.idm.example.com. 86400 IN TXT "IDM.EXAMPLE.COM"
  _kpasswd._tcp.idm.example.com. 86400 IN SRV 0 100 464 server.idm.example.com.
  _kpasswd._udp.idm.example.com. 86400 IN SRV 0 100 464 server.idm.example.com.
  _ldap._tcp.idm.example.com. 86400 IN SRV 0 100 389 server.idm.example.com.
  _ipa-ca.idm.example.com. 86400 IN A 192.168.122.2
Copy to Clipboard Toggle word wrap

对于同一 IdM 领域一部分的其他 DNS 域，在配置了对 AD 的信任时不需要配置 SRV 记录。原因在于 AD 域控制器不使用 SRV 记录来发现 KDC，而是基于对信任的名称后缀路由信息的 KDC 发现。

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat