第 17 章 认证和互操作性

系统安全服务守护进程(SSSD)目前默认使用 IdM LDAP 树。因此，无法将 sudo 规则分配给非POSIX 组。要临时解决这个问题，请修改 /etc/sssd/sssd.conf 文件，将您的域设置为再次使用 compat 树：

[domain/EXAMPLE]
...
ldap_sudo_search_base = ou=sudoers,dc=example,dc=com

因此，SSSD 将从 compat 树中加载 sudo 规则，您可以将规则分配给非 POSIX 组。

请注意，红帽建议将 sudo 规则中引用的组配置为 POSIX 组。(BZ#1336548)

当在新安装的系统上配置新的 Active Directory (AD)信任时，ipa-adtrust-install 工具可能会报告 winbindd 服务意外终止。否则，ipa-adtrust-install 可以成功完成。

如果出现这个问题，在运行 ipa-adtrust-install 后使用 ipactl restart 命令重启 IdM 服务。这也会重启 winbindd。

请注意，这个问题的功能影响的完整程度仍未知。在 winbindd 重启前，一些信任功能可能无法正常工作。(BZ#1399058)

当 nslcd、本地 LDAP 名称服务守护进程在网络连接完全启动之前启动，守护进程无法连接到 LDAP 服务器。因此，解析用户或组身份无法正常工作。要临时解决这个问题，请在网络连接启动后启动 nslcd。(BZ#1401632)