6.2.2. 推荐的 RHEL 客户端配置

Red Hat Enterprise Linux(RHEL)中的系统安全服务守护进程(SSSD)使用特殊的 PAM 和 NSS 库：pam_ss 和 nss_sss。使用这些库，SSSD 可以与身份管理(IdM)紧密集成，并从其完整的身份验证和身份功能中获益。SSSD 具有一些有用的特性，如缓存身份信息，因此即使与中央服务器的连接丢失，用户也可以登录。

与使用 pam_ldap 和 nss_ldap 库的通用 LDAP 目录服务不同，SSSD 通过定义 域 来在身份和身份验证信息之间建立关系。SSSD 中的域定义以下后端功能：

然后，SSSD 域配置为使用 提供者 来为任何一个或所有这些功能提供信息。域配置始终需要一个 身份 提供者。其他三个提供者是可选的；如果未定义身份验证、访问或密码提供者，则身份提供者用于此功能。

SSSD 可以对所有后端功能使用 IdM 。这是理想的配置，因为它提供完整的 IdM 功能，与通用的 LDAP 身份提供者或 Kerberos 身份验证不同。例如，在日常操作中，SSSD 在 IdM 中强制执行基于主机的访问控制规则和安全功能。

图 6.2. 客户端和带有 IdM 后端的 SSSD

ipa-client-install 脚本自动将 SSSD 配置为对所有其后端服务使用 IdM ，以便默认使用推荐的配置设置 RHEL 客户端。