红帽全球峰会第 90 章 在 IdM 中使用规范化 DNS 主机名
默认情况下，在 Identity Management(IdM)客户端上禁用 DNS 规范化，以避免潜在的安全风险。例如，如果攻击者控制 DNS 服务器和域中的主机，攻击者可以导致短主机名（如 demo ）解析到被入侵的主机，如 bad .example.com。在这种情况下，用户连接到与预期不同的服务器。
这个流程描述了如何在 IdM 客户端中使用规范化主机名。
90.1. 向主机主体中添加别名
默认情况下，使用 ipa-client-install 命令注册的身份管理(IdM)客户端不允许在服务主体中使用短主机名。例如，在访问服务时，用户只能使用 host/demo.example.com@EXAMPLE.COM ，而不是 host/demo@EXAMPLE.COM。
按照以下流程在 Kerberos 主体中添加别名。请注意，您也可以在 /etc/krb5.conf 文件中启用主机名规范化。详情请参阅 在客户端上的服务主体中启用主机名规范。
先决条件
- 已安装 IdM 客户端。
- 主机名在网络中是唯一的。
流程
以
admin用户身份对 IdM 进行身份验证：$ kinit admin
将别名添加到主机主体。例如，要在
demo.examle.com 主机主体中添加 demo别名：$ ipa host-add-principal demo.example.com --principal=demo
