10.7. 如果将 AD 配置为将用户证书映射到用户帐户，配置证书映射

这个用户故事描述了如果 IdM 部署与活动目录(AD)有信任关系时，在 IdM 中启用证书映射所需的步骤，用户存储在 AD 中，AD 中的用户条目包含证书映射数据。

先决条件

以管理员身份登录 IdM Web UI。
进入到 Authentication Certificate Identity Mapping Rules Certificate Identity Mapping Rules。
点 Add。
图 10.7. 在 IdM web UI 中添加新证书映射规则
输入规则名称。
输入映射规则。例如，要让 AD DC 搜索提供给它们的任何证书中带有 Issuer 和 Subject 条目，并根据在提供的证书中的这两个条目是否被找到来决定进行验证或不验证。
```
(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500})
```
输入匹配的规则。例如，只允许 AD.EXAMPLE.COM 域的 AD-ROOT-CA 签发的证书在 IdM 中验证用户：
```
<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
```
输入域：
```
ad.example.com
```
图 10.8. 如果为映射配置了 AD，则证书映射规则
点 Add。
系统安全服务守护进程(SSSD)会定期重新读取证书映射规则。要强制立即载入新创建的规则，请在 CLI 中重启 SSSD：
```
# systemctl restart sssd
```