5.2. 为 RHEL 主机配置受管服务帐户

流程

1. 在 production.example.com AD 域中为主机创建 MSA。

   [root@client ~]# adcli create-msa --domain=production.example.com

   Copy to Clipboard Toggle word wrap

2. 显示创建的 Kerberos keytab 中 MSA 的信息。记录 MSA 名称：

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

   Copy to Clipboard Toggle word wrap

3. 打开 /etc/sssd/sssd.conf 文件并选择要添加的适当 SSSD 域配置：

   • 如果 MSA 对应于一个来自不同林的 AD 域，请创建一个名为 [domain/<name_of_domain>] 的新域部分，然后输入有关 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid,ldap_krb5_keytab, 和 krb5_keytab:

     [domain/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     Copy to Clipboard Toggle word wrap
     警告

     即使有现有的信任关系，sssd-ad 在第二个林中仍需要一个 MSA。

   • 如果 MSA 对应于一个来自本地林的 AD 域，请使用 [domain/root.example.com/sub-domain.example.com] 格式创建一个新的子域部分，然后输入有关 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid,ldap_krb5_keytab, 和 krb5_keytab:

     [domain/ad.example.com/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     Copy to Clipboard Toggle word wrap