6.5. 管理同步协议
6.5.1. 创建同步协议
同步协议是使用 ipa-replica-manage connect 命令在 IdM 服务器上创建，因为它与 ActiveActive Directorynbsp;Directory 域创建连接。要建立到 ActiveActive Directorynbsp 的加密连接，IdM 必须信任 Windows CA 证书。
- 将根证书颁发机构(CA)证书复制到 IdM 服务器中：
- 如果您的 ActiveActive Directorynbsp;Directory CA 证书是自签名的：
- 在 Windows 服务器上导出 ActiveActive Directorynbsp;Directory CA 证书。
- Super 键+R 组合键打开运行对话框。
- 输入 certsrv.msc
- 右键单击本地证书颁发机构的名称，然后选择属性。
- 在 General 选项卡上，选择要在 CA 证书字段中导出的证书 ，然后单击查看证书。
- 在 Details 选项卡中，单击 。
- 单击 ，然后选择 Base-64 编码 X.509(.CER)。
- 为导出的文件指定合适的目录和文件名。单击 以导出证书，然后单击 。
- 将导出的证书复制到 IdM 服务器机器。
- 如果您的 ActiveActive Directorynbsp;Directory CA 证书由外部 CA 签名：
- 要找出 CA root 证书是什么证书，显示证书链：
# openssl s_client -connect adserver.example.com:636 CONNECTED(00000003) depth=1 C = US, O = Demo Company, OU = IT, CN = Demo CA-28 verify error:num=20:unable to get local issuer certificate verify return:0 --- Certificate chain 0 s:/C=US/O=Demo Company/OU=IT/CN=adserver.example.com i:/C=US/O=Demo Company/OU=IT/CN=Demo CA-1 1 s:/C=US/O=Demo Company/OU=IT/CN=Demo CA-1 i:/C=US/O=Demo Company/OU=IT/CN=Demo Root CA 2
上例显示 ActiveActive Directorynbsp;Directory 服务器的 CA 证书由CN=Demo CA-1签名，它由CN=Demo Root CA 2签名。这意味着CN=Demo Root CA 2是根 CA。 - 将 CA 证书复制到 IdM 服务器。
- 删除 IdM 服务器中的任何现有 Kerberos 凭据。
$ kdestroy
- 使用 ipa-replica-manage 命令创建 Windows 同步协议。这需要
--winsync选项。如果密码与用户帐户同步，则也使用--passsync选项，并设置用于密码同步的密码。--binddn和--bindpw选项在 ActiveActive Directorynbsp 上为系统帐户提供用户名和密码；Directory 服务器将用于连接到 ActiveActive Directorynbsp;Directory 服务器。$ ipa-replica-manage connect --winsync \ --binddn cn=administrator,cn=users,dc=example,dc=com \ --bindpw Windows-secret \ --passsync secretpwd \ --cacert /etc/openldap/cacerts/windows.cer \ adserver.example.com -v
--WinSync：将此识别为 Windows 同步协议。--bindDN : IdM 使用此 ActiveActive Directorynbsp 的 DN；Directory 帐户绑定到远程目录和同步属性。--bindpw：同步帐户的密码。--cacert：完整路径和文件名：- Activeactive Directorynbsp;Directory CA 证书（如果 CA 已被自签名）。
- 外部 CA 证书，如果 ActiveActive Directorynbsp;Directory CA 由一个外部 CA 签名。
--win-subtree：包含要同步用户的 Windows 目录子树的 DN。默认值为cn=Users,$SUFFIX。AD_server_name： ActiveActive Directorynbsp 的全限定域名(FQDN)；Directory 域控制器。
- 出现提示时，输入 Directory Manager 密码。
- 可选。配置密码同步，如 第 6.6.2 节 “设置密码同步” 中所示。如果没有 Password Synchronization 客户端，用户属性会在对等服务器之间同步，但密码则不会。注意密码同步客户端捕获密码更改，然后在 ActiveActive Directorynbsp;Directory 和 IdM 之间同步它们。这意味着它将同步新密码或密码更新。现有密码以 IdM 和 ActiveActive Directorynbsp 的散列形式存储；Directory，当安装 Password Synchronization 客户端时，无法解密或同步现有密码。必须更改用户密码，以启动对等服务器之间的同步。
