9.11. Identity Management
openssh-ldap 已被弃用
在 Red Hat Enterprise Linux 8 中弃用 openssh-ldap 子软件包，并将在 RHEL 9 中删除。因为 openssh-ldap 子软件包没有被上游维护，红帽建议您使用 SSSD 和 sss_ssh_authorizedkeys 帮助程序，它们与其他 IdM 解决方案更好地集成且更安全。
默认情况下，SSSD ldap 和 ipa 供应商会读取用户对象的 sshPublicKey LDAP 属性（如果可用）。请注意，您无法为 ad provider 或 IdM 可信域使用默认的 SSSD 配置从 Active Directory(AD)检索 SSH 公钥，因为 AD 没有存储公钥的默认 LDAP 属性。
要允许 sss_ssh_authorizedkeys 帮助程序从 SSSD 获取密钥，在 sssd.conf 文件的 services 选项中添加 ssh 来启用 ssh 响应程序。详情请查看 sssd.conf(5) 手册页。
要允许 sshd 使用 sss_ssh_authorizedkeys,，添加 AuthorizedKeysCommand/usr/bin/sss_ssh_authorizedkeys 和 AuthorizedKeysCommandUser nobody 选项到 /etc/ssh/sshd_config 文件，如 ss_ssh_authorizedkeys(1) 手册页所述。
已经删除了 DES 和 3DES 加密类型
由于安全考虑，自 RHEL 7 开始，数据加密标准(DES)算法已被弃用并默认禁用。通过最近重新构建 Kerberos 软件包，已从 RHEL 8 中删除了 single-DES(DES)和 triple-DES（3DES） 加密类型。
如果您已经将服务或用户配置为只使用 DES 或 3DES 加密，您可能会遇到服务中断，例如：
- Kerberos authentication 错误
-
unknown enctype加密错误 -
带有 DES 加密数据库主密钥(
K/M)的 KDC 无法启动
执行以下操作准备升级：
-
检查您的 KDC 是否使用 DES 或者 3DES 加密，并使用
krb5check打开源 Python 脚本。请参阅 GitHub 上的 krb5check。 - 如果您要将 DES 或 3DES 加密用于任何 Kerberos 主体，请使用支持的加密类型重新加密，比如高级加密标准(AES)。有关重新打包的步骤，请参考 MIT Kerberos 文档中的 Retiring DES。
通过在升级前临时设置以下 Kerberos 选项，从 DES 和 3DES 测试测试：
-
在 KDC 上的
/var/kerberos/krb5kdc/kdc.conf中设置support_enctypes且不包含des或des3。 -
对于每个主机，在
/etc/krb5.conf以及/etc/krb5.conf.d中的任意文件，将allow_weak_crypto设为false。默认为 false。 -
对于每个主机，在
/etc/krb5.conf以及/etc/krb5.conf.d中的任意文件设置allowed_enctypes,default_tgs_enctypes,以及default_tkt_enctypes且不包含des或des3。
-
在 KDC 上的
- 如果您没有遇到上一步中测试 Kerberos 设置的服务中断，请删除并升级它们。升级到最新的 Kerberos 软件包后您不需要这些设置。
单独使用 ctdb 服务已弃用
从 RHEL 8.4 开始，建议客户仅在满足以下任一条件时使用 ctdb 集群的Samba 服务：
-
ctdb服务通过资源代理ctdb作为pacemaker资源进行管理。 -
ctdb服务使用包含由红帽 Gluster 存储产品提供的 GlusterFS 文件系统或 GFS2 文件系统的存储卷。
ctdb 服务的独立用例已被弃用，其不会包含在 Red Hat Enterprise Linux 的下一个主版本中。有关 Samba 支持政策的更多信息，请参阅 RHEL Resilient Storage - ctdb 常规政策的支持政策。
(BZ#1916296)
以 PDC 或 BDC 的形式运行 Samba 已被弃用
传统的域控制器模式使管理员能够作为类似 NT4 的主域控制器（PDC）和备份域控制器（BDC）运行 Samba。用于配置这些模式的代码和设置将在以后的 Samba 发行版本中删除。
只要 RHEL 8 中的 Samba 版本提供 PDC 和 BDC 模式,红帽就仅在带有支持 NT4 域的 Windows 版本的现有安装中支持这些模式。红帽建议不要设置新的 Samba NT4 域，因为 Microsoft 操作系统稍后于 Windows 7 和 Windows Server 2008 R2 不支持 NT4 域。
如果您使用 PDC 仅验证 Linux 用户，红帽建议迁移到 RHEL 订阅中包含的 Red Hat Identity Management（IdM）。但是，您无法将 Windows 系统加入到 IdM 域中。请注意，红帽继续支持在后台使用 PDC 功能 IdM。
红帽不支持将 Samba 作为 AD 域控制器（DC）运行。
libwbclient 的 SSSD 版本已弃用
添加了 libwbclient 软件包的 SSSD 实施，允许 Samba smbd 服务从 AD 检索用户和组信息，而无需运行 winbind 服务。由于 Samba 现在要求 winbind 服务运行并处理与 AD 的通信，出于安全原因，相关的代码已从 smdb 中删除。因为这个额外的所需功能不是 SSSD 的一部分，libwbclient的SSSD 实施无法用于 Samba 的最新版本，因此 libwbclient 的 SSSD 实施已被弃用。
SMB1 协议在 Samba 中已弃用
从 Samba 4.11 开始，不安全的服务器消息块版本 1 (SMB1)协议已弃用，并将在以后的发行版本中删除。
为提高安全性，在 Samba 服务器和客户端工具中默认禁用 SMB1。
Jira:RHELDOCS-16612
