Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

3.14. 身份管理

管理 IdM ID 范围不一致的新工具

在这个版本中，身份管理(IdM)提供 ipa-idrange-fix 工具。您可以使用 ipa-idrange-fix 工具来分析现有的 IdM ID 范围，识别这些范围之外的用户和组，并建议以创建新的 ipa-local 范围来包括它们。

ipa-idrange-fix 工具执行以下操作：

  • 从 LDAP 读取和分析现有范围。
  • 搜索 ipa-local 范围之外的用户和组。
  • propose 新的 ipa-local 范围，以覆盖标识的用户和组。
  • 提示用户应用提议的更改。

默认情况下，该工具排除 1000 以下的 ID，以防止与系统帐户冲突。红帽强烈建议在应用任何推荐的更改前创建完整的系统备份。

如需更多信息，请参阅 ipa-idrange-fix (1) 手册页。

Jira:RHEL-45330

Kerberos 现在支持 Elliptic Curve Diffie-Hellman 密钥协议算法

现在支持 RFC5349 定义的 PKINIT 的 Elliptic Curve Diffie-Hellman (ECDH)密钥协议算法。有了这个更新，krb5.conf' 文件中的 pkinit_dh_min_bits 设置现在可以使用 'P-256、P-384 或 P-521 进行配置，以默认使用 ECDH。

Jira:RHEL-4902

ansible-freeipa 已 rebase 到 1.14.5

ansible-freeipa 软件包已从 1.13.2 版本 rebase 到版本 1.14.5。主要改进和程序错误修复包括：

  • 您可以使用 module_defaults 为多个 ansible-freeipa 任务定义变量

    freeipa.ansible_freeipa 集合现在提供简化 ansible-freeipa 模块使用的 module_defaults 操作组。通过使用 module_defaults，您可以设置要应用到 playbook 中使用的所有集合模块中的默认值。为此，请使用名为 freeipa.ansible_freeipa.modules 的 action_group。例如： 

    - name: Test
   hosts: localhost
   module_defaults:
     group/freeipa.ansible_freeipa.modules:
       ipaadmin_password: Secret123
   tasks:
…
    Copy to Clipboard Toggle word wrap

    因此，playbook 更加简洁。

  • 现在可以在一个 Ansible 任务中管理多个 IdM sudo 规则

    此增强将 sudorules 选项添加到 ansible-freeipa 中。通过使用 sudorules，您可以使用一个 Ansible 任务添加、修改和删除多个身份管理(IdM) sudo 规则。为此，请使用 ipasudorule 模块的 sudorules 选项。因此，您可以更轻松地定义 sudo 规则，并更有效地执行它们。

    使用 sudorules 选项，您可以指定应用到特定 sudo 规则的多个 sudo 规则参数。此 sudo 规则由 name 变量定义，它是 sudorules 选项的唯一强制的变量。 

  • 使用 ipagroup 模块删除外部成员现在可以正常工作

    在以前的版本中，尝试使用带有 externalmember 参数的 ansible-freeipa ipagroup 模块确保 IdM 组中没有外部成员不会将成员从组中删除，即使 Ansible 将任务的结果显示为 changed 。有了此修复，使用带有 externalmember 的 ipagroup 模块可以正确地确保 IdM 组中的外部成员不存在。此修复还允许使用 DOM\name 或 name@domain 来识别 AD 用户。

Jira:RHEL-67566

389-ds-base 已 rebase 到版本 2.6.1

389-ds-base 软件包已 rebase 到版本 2.6.1。与 2.5.2 版本相比，重要的程序错误修复和增强包括：

  • 错误日志的日志缓冲
  • 以 JSON 格式编写审计日志的选项
  • 更新组时延迟更新组成员的选项
  • 配置 PBKDF2 迭代数的选项
  • logconv.py 日志分析器工具

Jira:RHEL-67195

OpenLDAP 更新到版本 2.6.8

openldap 软件包已更新至版本 2.6.8。这个版本包括各种改进和程序错误修复，包括：

  • 改进了对 TLS 连接的处理。
  • Kerberos SASL 使用 STARTTLS，即使 Active Directory 证书是 Elliptic Curve Cryptography (ECC)证书，SASL_CBINDING 设置为 tls-endpoint。

Jira:RHEL-71053

新的 memberOfDeferredUpdate: on/off 配置属性现在包括在 Directory Server 中

在这个版本中，Directory 服务器为 MemberOf 插件引入了新的 memberOfDeferredUpdate 配置属性。当设置为 on 时，MemberOf 插件会延迟组成员的更新，从而提高服务器响应性，特别是在组更改大量成员时。

详情请参阅 Red Hat Directory Server 12 配置和 schema 参考文档中的 memberOfDeferredUpdate。

Jira:RHEL-5151

目录服务器现在提供错误、审计和审计日志的缓冲

在此次更新之前，只有访问和安全日志会进行日志缓冲。在这个版本中，Directory 服务器提供错误、审计和审核失败日志的缓冲。使用以下设置来配置日志缓冲：

  • 用于错误日志的 nsslapd-errorlog-logbuffering。默认禁用此选项。
  • 用于审计和审计失败日志的 nsslapd-auditlog-logbuffering。默认启用此选项。

详情请查看 Red Hat Directory Server 配置和 schema 参考文档中的 nsslapd-errorlog-logbuffering 和 nsslapd-auditlog-logbuffering。

Jira:RHEL-78650

目录服务器现在可以在成功绑定后使用 CRYPT 或 CLEAR 哈希算法更新密码

在此次更新之前，Directory 服务器有一个硬编码的哈希算法列表，这些算法在成功绑定过程中不包括在密码更新中。目录服务器不会更新在 passwordStorageScheme 属性中配置的 CRYPT 或 CLEAR 哈希算法的用户密码。

在这个版本中，您可以使用 nsslapd-scheme-list-no-upgrade-hash 配置属性设置必须从密码更新中排除的哈希算法列表。默认情况下，nsslapd-scheme-list-no-upgrade-hash 包含 CRYPT 和 CLEAR，以便向后兼容。

Jira:RHEL-62875

IdM 现在完全支持 HSM

现在，身份管理(IdM)完全支持硬件安全模块(HSM)。您可以在 HSM 上存储 IdM Cerificate Authority (CA)和密钥恢复授权(KRA)的密钥对和证书。这为私钥材料增加了物理安全。

IdM 依赖于 HSM 的网络功能，来在机器之间共享密钥来创建副本。HSM 提供了额外的安全性，而不影响大多数 IdM 操作。当使用低级别工具时，证书和密钥会以不同的方式处理，但对大多数用户来说是无缝的。

注意

不支持将现有 CA 或 KRA 迁移到基于 HSM 的设置中。您需要在 HSM 上使用密钥重新安装 CA 或 KRA。

您需要以下内容：

  • 支持的 HSM。
  • HSM Public-Key Cryptography Standard (PKCS) swig 库。
  • 可用的插槽、令牌和令牌密码。

要使用存储在 HSM 上的密钥安装 CA 或 KRA，您必须指定令牌名称和 PKCS #11 库的路径。例如： 

ipa-server-install -r EXAMPLE.TEST -U --setup-dns --allow-zone-overlap --no-forwarders -N --auto-reverse --random-serial-numbers -–token-name=HSM-TOKEN --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so --setup-kra
Copy to Clipboard Toggle word wrap

Jira:RHELDOCS-17465[1]

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat