10.10. 身份管理

FIPS 模式下的 IdM 不支持使用 NTLMSSP 协议来建立双向跨林信任

在活动目录(AD)和启用了 FIPS 模式的身份管理(IdM)之间建立双向跨林信任会失败，因为新技术局域网管理器安全支持提供程序 (NTLMSSP)身份验证不符合 FIPS。FIPS 模式下的 IdM 不接受在尝试验证时 AD 域控制器所使用的 RC4 NTLM 哈希。

由于 EMS 强制，在 FIPS 模式下安装带有 RHEL 10 IdM 服务器的 RHEL 7 IdM 客户端会失败

TLS Extended Master Secret (EMS)扩展(RFC 7627)现在对启用了 FIPS 的 RHEL 10 系统上的 TLS 1.2 连接是强制的。这符合 FIPS-140-3 要求。但是，RHEL 7.9 及较低版本中提供的 openssl 版本不支持 EMS。因此，安装在 RHEL 10 上运行的启用了 FIPS 的 IdM 服务器的 RHEL 7 身份管理(IdM)客户端会失败。

DNSSEC 在 RHEL IdM 中无法正常工作

DNS 安全扩展(DNSSEC)在 RHEL 10.0 中的身份管理(IdM)中无法正常工作，因为使用 pkcs11-provider OpenSSL 提供者替换 openssl-pkcs11 OpenSSL 引擎时出现了多个未解决的问题。

通过 SSSD 运行的 adcli 自动续订主机 keytab 失败

在直接 SSSD-AD 集成中，SSSD 每天检查机器帐户密码是否超过配置的天数，如果需要，尝试更新它。配置的期限由 ad_maximum_machine_account_password_age 值设置，默认为 30 天。0 值禁用续订尝试。

dsctl healthcheck 可以报告错误的数据库类型

如果您使用 Lightning Memory-Mapped Database Manager (LMDB)数据库类型创建了一个实例，运行 dsctl healthcheck 命令可能会导致以下错误消息之一，因为目录服务器会检查一个错误的配置参数：

从 BDB 迁移到 LMDB 的过程中显示一条错误消息

当您运行 dsctl dblib bdb2mdb 命令从 Berkeley Database (BDB)迁移到 Lightning Memory-Mapped Database Manager (LMDB)，且没有启用复制时，输出中会显示以下错误消息：

ldapmodify 不会从 cn=config 中的任何属性中删除单个特定值

目前，当您尝试从 cn=config 中的任何属性中删除值时，该值将保留在属性中，服务器可能需要重启来完全删除它。