34.7. 在活动目录 DNS 域中配置 IdM 客户端

流程

1. 使用 --domain=IPA_DNS_Domain 选项安装 IdM 客户端，来确保系统安全服务守护进程(SSSD)可以与 IdM 服务器进行通信：

   [root@idm-client.ad.example.com ~]# ipa-client-install --domain=idm.example.com

   Copy to Clipboard Toggle word wrap

   这个选项禁用了活动目录 DNS 域的 SRV 记录自动检测。

2. 打开 /etc/krb5.conf 配置文件，并在 [domain_realm] 部分中找到活动目录域的现有映射。

   .ad.example.com = IDM.EXAMPLE.COM
   ad.example.com = IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

3. 将这两个行替换为将活动目录 DNS 区域中 Linux 客户端的完全限定域名(FQDN)映射到 IdM 域的条目：

   idm-client.ad.example.com = IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

   通过替换默认映射，您可以防止 Kerberos 将其对活动目录域的请求发送到 IdM Kerberos 分发中心(KDC)。相反，Kerberos 使用通过 SRV DNS 记录的自动发现来定位 KDC。

流程

1. 在 IdM 服务器上创建一个新的主机对象：

   [root@idm-server.idm.example.com ~]# ipa host-add idm-client.ad.example.com --force

   Copy to Clipboard Toggle word wrap

   使用 --force 选项，因为主机名是 CNAME，而不是 A/AAAA 记录。

2. 在 IdM 服务器上，允许 IdM DNS 主机名来管理 IdM 数据库中的活动目录主机条目：

   [root@idm-server.idm.example.com ~]# ipa host-add-managedby idm-client.ad.example.com \
         --hosts=idm-client.idm.example.com

   Copy to Clipboard Toggle word wrap

3. 现在，您可以为您的 IdM 客户端请求一个 SSL 证书，并带有在活动目录 DNS 域中其主机名称的 dNSName 扩展记录：

   [root@idm-client.idm.example.com ~]# ipa-getcert request -r \
         -f /etc/httpd/alias/server.crt \
         -k /etc/httpd/alias/server.key \
         -N CN=`hostname --fqdn` \
         -D `hostname --fqdn` \
         -D idm-client.ad.example.com \
         -K host/idm-client.idm.example.com@IDM.EXAMPLE.COM \
         -U id-kp-serverAuth

   Copy to Clipboard Toggle word wrap