第 5 章 使用受管服务帐户访问 AD

如果要允许 RHEL 主机在不加入的情况下访问 Active Directory(AD)域，您可以使用 Managed Service Account(MSA)访问该域。MSA 是 AD 中的一个帐户，对应于特定的计算机，您可将其用来连接到 AD 资源作为特定用户主体。

例如，如果 AD 域 production.example.com 与 lab.example.com AD 域有一个单向信任关系，则应用以下条件：

这意味着主机加入了 lab 域（如 client.lab.example.com）将无法通过信任访问来自 production 域的资源。

如果要为 client.lab.example.com 主机创建一个例外，可以使用 adcli 程序在 production.example.com 域中为 client 主机创建一个 MSA。要使用 MSA 的 Kerberos 主体进行身份验证，您可以从 client 主机在 production 域中执行安全 LDAP 搜索。