4.4. 为域用户管理登录权限

流程

1. 授予对所有用户的访问权限：

   # realm permit --all

   Copy to Clipboard Toggle word wrap

2. 授予对特定用户的访问权限：

   $ realm permit aduser01@example.com
   $ realm permit 'AD.EXAMPLE.COM\aduser01'

   Copy to Clipboard Toggle word wrap

验证

1. 使用 SSH 以 aduser01@example.com 用户身份登录到服务器：

   $ ssh aduser01@example.com@server_name
   [aduser01@example.com@server_name ~]$

   Copy to Clipboard Toggle word wrap

2. 使用 ssh 命令第二次访问同一服务器，此时与 aduser02@example.com 用户身份进行以下操作：

   $ ssh aduser02@example.com@server_name
   Authentication failed.

   Copy to Clipboard Toggle word wrap

流程

1. 拒绝对域内所有用户的访问：

   # realm deny --all

   Copy to Clipboard Toggle word wrap

   此命令将阻止 realm 帐户登录本地计算机。使用 realm 允许将 登录限制为特定的帐户。

2. 验证域用户的 login-policy 是否已 设置为 deny-any-login:

   [root@replica1 ~]# realm list
   example.net
     type: kerberos
     realm-name: EXAMPLE.NET
     domain-name: example.net
     configured: kerberos-member
     server-software: active-directory
     client-software: sssd
     required-package: oddjob
     required-package: oddjob-mkhomedir
     required-package: sssd
     required-package: adcli
     required-package: samba-common-tools
     login-formats: %U@example.net
     login-policy: deny-any-login

   Copy to Clipboard Toggle word wrap

3. 使用 -x 选项拒绝对特定用户的访问：

   $ realm permit -x 'AD.EXAMPLE.COM\aduser02'

   Copy to Clipboard Toggle word wrap