5.2. 为 RHEL 主机配置受管服务帐户

流程

1. 在 production.example.com AD 域中为主机创建一个 MSA。

   [root@client ~]# adcli create-msa --domain=production.example.com

   Copy to Clipboard Toggle word wrap

2. 显示创建的 Kerberos keytab 中的 MSA 信息。记录 MSA 名称：

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

   Copy to Clipboard Toggle word wrap

3. 打开 /etc/sssd/sssd.conf 文件并选择要添加的相应 SSSD 域配置：

   • 如果 MSA 对应于 来自不同林的 AD 域， 请创建一个名为 [domain/<name_of_domain>] 的新域部分，并输入 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid、LDAP_krb5_keytab, 和 krb5_keytab:

     [domain/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     Copy to Clipboard Toggle word wrap
     警告

     即使具有现有的信任关系，sssd-ad 还需要第二个林中的 MSA。

   • 如果 MSA 对应于 本地林的 AD 域， 则以 [domain/root.example.com/sub-domain.example.com] 格式创建新子域部分，并输入关于 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid、LDAP_krb5_keytab, 和 krb5_keytab:

     [domain/ad.example.com/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     Copy to Clipboard Toggle word wrap