4.6.3. 控制 GPO 强制的 SSSD 选项列表

/etc/sssd/sssd.conf 中的 SSSD 参数规定了组策略对象(GPO)的应用程序。使用这些设置，管理员可以在严格的强制和 permissive 审计间切换，或者强制执行默认的拒绝安全模型。

ad_gpo_access_control 选项: 您可以在 /etc/sssd/sssd.conf 文件中设置 ad_gpo_access_control 选项来选择基于 GPO 访问控制的三种不同模式。

Expand

表 4.2. ad_gpo_access_control 值表
ad_gpo_access_control 的值	行为
`enforcing`	基于 GPO 的访问控制规则会被评估并强制执行。这是 RHEL 8 中的默认设置。
`permissive`	基于 GPO 的访问控制规则会被评估，但不会强制实施；每次被拒绝的访问都会记录 `syslog` 消息。这是 RHEL 7 中的默认设置。这个模式是测试策略调整的理想模式,同时允许用户继续登录。
`disabled`	基于 GPO 的访问控制规则不被评估也不被强制执行。

ad_gpo_implicit_deny 选项: ad_gpo_implicit_deny 选项默认设置为 False。在这个默认状态下，如果没有找到适用的 GPOs，则允许用户进行访问。如果将这个选项设置为 True，则必须使用 GPO 规则明确允许用户访问。

您可以使用此功能来强化安全性，但小心不要意外拒绝访问。红帽建议在 ad_gpo_access_control 设置为 permissive 时测试此功能。

以下两个表演示了，根据在 AD 服务器端定义的允许和拒绝登陆权限和 ad_gpo_implicit_deny 的值，一个用户被允许或拒绝访问。

Expand

Expand