1.6. IdM 术语

发布数字证书的实体。在 Red Hat Identity Management 中，主 CA 是 ipa，IdM CA。ipa CA 证书是以下类型之一：

在 IdM 中，您还可以创建多个 子 CA（sub-CA）。子 CA 是其证书是以下类型之一的 IdM CA：

另请参阅 规划您的 CA 服务。

在两个 Kerberos 域间建立一个信任的访问关系，允许一个域中的用户和服务访问另一个域中的资源。

通过 Active Directory (AD) 林根域和 IdM 域间的跨林信任，来自 AD 林域中的用户可以与 IdM 域中的 Linux 机器和服务交互。从 AD 的角度来看，身份管理代表一个独立的 AD 域。如需更多信息，请参阅信任会如何工作。

完全限定域名 (FQDN) 是一个域名，用于指定主机在域名系统 (DNS) 层次结构中的确切位置。在父域 example.com 中具有主机名 myhost 的设备具有 FQDN myhost.example.com。通过 FQDN 可以将设备与其他域中名为 myhost 的任何其他主机区分开来。

如果您使用 DNS 自动发现在主机 machine1 上安装 IdM 客户端，并且正确配置了 DNS 记录，则需要 machine1 的 FQDN。如需更多信息，请参阅 IdM 的主机名和 DNS 要求。

通用安全服务应用程序接口（GSSAPI 或 GSS-API）使开发人员能够抽象其应用程序是如何保护发送到对等应用程序的数据。安全服务提供商可以将常见流程调用的 GSSAPI 实现作为其安全软件的库来提供。这些库为那些编写只使用独立于供应商的 GSSAPI 来编写应用程序的人提供了一个兼容 GSSAPI 的接口。凭借这种灵活性，开发人员不必针对任何特定平台、安全机制、保护类型或传输协议量身定制其安全实现。

Kerberos 是主流的 GSSAPI 机制实施，它允许 Red Hat Enterprise Linux 和 Microsoft Windows Active Directory Kerberos 实现与 API 兼容。

隐藏的副本是一个 IdM 副本，它正在运行所有服务且可用，但其服务器角色被禁用，客户端无法发现其副本，因为它在 DNS 中没有 SRV 记录。

隐藏副本主要设计用于备份、批量导入和导出等服务，或者需要关闭 IdM 服务的操作。因为没有客户端使用隐藏的副本，管理员可以在不影响任何客户端的情况下暂时关闭这个主机上的服务。如需更多信息，请参 隐藏的副本模式。

SSSD 可以使用 AD 用户的 SID 在名为 ID 映射的过程中以算法生成 POSIX ID。ID 映射会在 AD 中的 SID 和 Linux 中的 ID 之间创建一个映射。

ID 范围是分配给 IdM 拓扑或特定副本的 ID 数范围。您可以使用 ID 范围为新用户、主机和组指定有效的 UID 和 GID 范围。ID 范围用于避免 ID 号冲突。IdM 中有两个不同的 ID 范围：

如需更多信息，请参阅 ID 范围。

通过 ID 视图，您可以为 POSIX 用户或组属性指定新值，并定义要应用新值的客户端和主机。例如，您可以使用 ID 视图来：

在 IdM-AD 信任设置中，Default Trust View 是应用到 AD 用户和组的 ID 视图。使用 Default Trust View，您可以为 AD 用户和组定义自定义 POSIX 属性，从而覆盖 AD 中定义的值。

如需更多信息，请参阅使用 ID 视图覆盖 IdM 客户端中的用户属性值。

安装并运行 IdM 证书颁发机构 (CA) 服务的 IdM 服务器。

备选名称： CA 服务器

用于指代整个 IdM 安装的术语。您可以通过回答以下问题来描述您的 IdM 部署：

要在 IdM 部署中安装第一个服务器，您必须使用 ipa-server-install 命令。

然后，管理员可以使用 ipa-replica-install 命令在安装的第一个服务器之外安装副本。默认情况下，安装副本会与从中创建其的 IdM 服务器创建 复制协议 ，从而能够向其余 IdM 接收和发送更新。

所安装的第一个服务器与副本之间没有功能差异。两个都是全功能读/写 IdM 服务器。

已弃用的名称： master 服务器

如果您的 IdM 拓扑包含一个集成证书颁发机构 (CA)，则一台服务器会具有唯一的 CA renewal server 角色。这个服务器维护并更新 IdM 系统证书。

默认情况下，您安装的第一个 CA 服务器将履行此角色，但您可以将任何 CA 服务器配置为 CA 续订服务器。在没有集成 CA 的部署中，没有 CA 续订服务器。

已弃用的名称： master CA

如果您的 IdM 拓扑包含一个集成证书颁发机构 (CA)，则一台服务器会具有唯一的 Certificate revocation list (CRL) publisher server 角色。此服务器负责维护 CRL。

默认情况下，履行 CA 续订服务器角色的服务器也承担此角色，但您可以将任何 CA 服务器配置为 CRL 发布程序服务器。在没有集成 CA 的部署中，没有 CRL 发布程序服务器。

身份验证指示符附加到 Kerberos 票据中，并代表用于获取票据的初始验证方法：

如需更多信息，请参阅 Kerberos 身份验证指标。

密码是用户的默认验证方法，但 keytabs 是主机和服务的默认验证方法。Kerberos keytab 是包含 Kerberos 主体及其关联的加密密钥列表的文件，因此服务可以检索其自己的 Kerberos 密钥并验证用户身份。

例如，每个 IdM 客户端都有一个 /etc/krb5.keytab 文件，该文件存储了 host 主体的信息，代表 Kerberos 域中的客户端计算机。

唯一的 Kerberos 主体可识别 Kerberos 网域中的每个用户、服务和主机：

Kerberos 密钥分发中心 (KDC) 通过连接策略强制实施票据访问控制，并通过票据生命周期策略管理 Kerberos 票据的持续时间。例如，默认的全局票据生命周期为一天，默认的全局最大续订期限为一周。

如需更多信息，请参阅 IdM Kerberos ticket 策略类型。

Kerberos 密钥分发中心 (KDC) 是充当管理 Kerberos 凭据信息的中央可信权威的服务。KDC 发出 Kerberos 票据并确保来自 IdM 网络内实体的数据的真实性。

如需更多信息，请参阅 IdM KDC 的角色。

在 IdM 中，轻量级子 CA 是证书颁发机构 (CA)，其证书由 IdM root CA 签名，或属于它的一个 CA。轻量级子 CA 只为特定目的发布证书，例如用来保护 VPN 或 HTTP 连接。

如需更多信息，请参阅限制应用程序只信任某个证书子集。

密码策略是特定 IdM 用户组的密码必须满足的一组条件。这些条件可以包括以下参数：

如需更多信息，请参阅什么是密码策略。

POSIX 属性是用于维护操作系统间兼容性的用户属性。

在 Red Hat Identity Management 环境中，用户的 POSIX 属性包括：

在 Red Hat Identity Management 环境中，组的 POSIX 属性包括：

这些属性将用户和组标识为单独的实体。

复制协议是同一 IdM 部署的两个 IdM 服务器之间的协议。复制协议确保两个服务器之间不断复制数据和配置。

IdM 使用两种复制协议： 域复制协议，用于复制身份信息，证书复制协议，用于复制证书信息。

如需更多信息，请参阅：

向 Kerberos 密钥分发中心 (KDC) 进行身份验证后，用户会收到一组票据授予票据 (TGT)，这是一组临时凭证，可用于向其他服务（如网站和电子邮件）请求访问票据。

使用 TGT 请求进一步访问为用户提供了单点登录体验，因为用户只需要验证一次就可以访问多个服务。TGT 是可续订的，Kerberos ticket 策略则决定了票据续订限制以及访问控制。

如需更多信息，请参阅管理 Kerberos ticket 策略。