4.2. 配置 SSSD 以使用 LDAP 并需要 TLS 身份验证

步骤

1. 安装必要的软件包：

   # dnf -y install openldap-clients sssd sssd-ldap oddjob-mkhomedir

   Copy to Clipboard Toggle word wrap

2. 将身份验证供应商切换到 sssd：

   # authselect select sssd with-mkhomedir

   Copy to Clipboard Toggle word wrap

3. 将包含 root CA 签名证书链的 core-dirsrv.ca.pem 文件从颁发 OpenLDAP 服务器的 SSL/TLS 证书的证书颁发机构链复制到 /etc/openldap/certs 文件夹。

   # cp core-dirsrv.ca.pem /etc/openldap/certs

   Copy to Clipboard Toggle word wrap

4. 将 LDAP 服务器的 URL 和后缀添加到 /etc/openldap/ldap.conf 文件中：

   URI ldap://ldap-server.example.com/
   BASE dc=example,dc=com

   Copy to Clipboard Toggle word wrap

5. 在 /etc/openldap/ldap.conf 文件中，向 /etc/openldap/certs/core-dirsrv.ca.pem 添加指向 TLS_CACERT 参数的行：

   # When no CA certificates are specified the Shared System Certificates
   # are in use. In order to have these available along with the ones specified
   # by TLS_CACERTDIR one has to include them explicitly:
   TLS_CACERT /etc/openldap/certs/core-dirsrv.ca.pem

   Copy to Clipboard Toggle word wrap

6. 在 /etc/sssd/sssd.conf 文件中，将您的环境值添加到 ldap_uri 和 ldap_search_base 参数中，并将 ldap_id_use_start_tls 设为 True ：

   [domain/default]
   id_provider = ldap
   autofs_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://ldap-server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_id_use_start_tls = True
   cache_credentials = True
   ldap_tls_cacertdir = /etc/openldap/certs
   ldap_tls_reqcert = allow
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   …

   Copy to Clipboard Toggle word wrap

7. 在 /etc/sssd/sssd.conf 中，修改 [domain] 部分中的 ldap_tls_cacert 和 ldap_tls_reqcert 值来指定 TLS 身份验证要求：

   …
   cache_credentials = True
   ldap_tls_cacert = /etc/openldap/certs/core-dirsrv.ca.pem
   ldap_tls_reqcert = hard
   …

   Copy to Clipboard Toggle word wrap

8. 更改 /etc/sssd/sssd.conf 文件的权限：

   # chmod 600 /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

9. 重启并启用 SSSD 服务和 oddjobd 守护进程：

   # systemctl restart sssd oddjobd
   # systemctl enable sssd oddjobd

   Copy to Clipboard Toggle word wrap

10. 可选：如果您的 LDAP 服务器使用已弃用的 TLS 1.0 或 TLS 1.1 协议，请将客户端系统上的系统范围的加密策略切换为 LEGACY 级别，以允许 RHEL 使用这些协议进行通信：

    # update-crypto-policies --set LEGACY

    Copy to Clipboard Toggle word wrap

    如需更多详细信息，请参阅红帽客户门户网站上的 RHEL 8 中的强加密默认值和弱加密算法的弃用 知识库文章，以及您系统上的 update-crypto-policies (8) 手册页。