1.6.4. 如果 IdM 信任新域，请手动添加 ID 映射配置

步骤

1. 使用主机的 keytab 进行身份验证：

   [root@idm_client]# kinit -k

2. 使用ipa idrange-find命令来显示新域的基本 ID 和 ID 范围大小。例如，以下命令显示了ad.example.com域的值：

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw

   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   在后续步骤中，您需要ipabaseid和ipaidrangesize属性的值。

3. 要计算可用最高的 ID，请使用以下公式：

   maximum_range = ipabaseid + ipaidrangesize - 1

   使用上一步中的值，ad.example.com域的最大可用 ID 是1918599999(1918400000 + 200000 - 1)。

4. 编辑/etc/samba/smb.conf文件，并将域的 ID 映射配置添加到[global]部分：

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   将 ipabaseid 属性中的值指定为最低值，并将上一步中的 computed 值指定为最高值。

5. 重启smb和winbind服务：

   [root@idm_client]# systemctl restart smb winbind