第 13 章 配置外部身份验证

流程

1. 从 LDAP 服务器获取证书。

   1. 如果您使用 Active Directory 证书服务，请使用 Base-64 编码的 X.509 格式导出企业 PKI CA 证书。如需有关 从 Active Directory 服务器创建和导出 CA 证书的信息，请参阅如何使用 Satellite 6 上的 TLS 配置 Active Directory 身份验证。

   2. 将 LDAP 服务器证书下载到安装卫星服务器的 Red Hat Enterprise Linux 系统上的临时位置，并在完成后将其移除。

      例如： /tmp/example.crt。文件名扩展 .cer 和 .crt 只包括惯例，可以引用 DER 二进制或 PEM ASCII 格式证书。

2. 信任 LDAP 服务器中的证书。

   Red Hat Satellite Server 需要 CA 证书使 LDAP 身份验证成为 /etc/pki/tls/certs/ 目录中的单个文件。

   1. 使用 install 命令将导入的证书安装到具有正确权限的 /etc/pki/tls/certs/ 目录中：

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. 以 root 用户身份输入以下命令信任从 LDAP 服务器获得的 example.crt 证书：

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. 重启 httpd 服务：

      # systemctl restart httpd

流程

1. 将 Network Information System(NIS)服务布尔值设置为 true，以防止 SELinux 停止传出 LDAP 连接：

   # setsebool -P nis_enabled on

2. 进入 Administer > LDAP Authentication。
3. 点 Create Authentication Source。
4. 在 LDAP 服务器 选项卡中，输入 LDAP 服务器的名称、主机名、端口和服务器类型。默认端口为 389，默认服务器类型是 POSIX（您可以原生选择 FreeIPA 或 Active Directory，具体取决于身份验证服务器类型）。对于 TLS 加密的连接，请选择 LDAPS 复选框来启用加密。端口应更改为 636，这是 LDAPS 的默认设置。
5. 在 帐户 选项卡中，输入帐户信息和域名详情。有关描述和示例，请参阅 第 13.1.3 节 “LDAP 设置的描述”。
6. 在 Attribute mappings 选项卡上，将 LDAP 属性映射到 Satellite 属性。您可以映射登录名称、名字、姓氏、电子邮件地址和照片属性。如需示例，请参阅 第 13.1.4 节 “LDAP 连接的设置示例”。
7. 在位置 选项卡上，从左侧列表中选择位置。选择的位置分配给从 LDAP 身份验证源创建的用户，并在第一次登录时可用。
8. 在 Organizations 选项卡上，从左侧列表中选择机构。所选机构被分配给从 LDAP 身份验证源创建的用户，并在第一次登录时可用。
9. 点 Submit。

10. 为 LDAP 用户配置新帐户：

    • 如果您没有选择 Automatically Create Accounts In Satellite 复选框，请参阅 第 5.1.1 节 “创建用户” 来手动创建用户帐户。
    • 如果您选择了 Automatically Create Accounts In Satellite 复选框，LDAP 用户现在可以使用其 LDAP 帐户和密码登录到 Satellite。第一次登录后，Satellite 管理员必须手动为其分配角色。请参阅 第 5.1.2 节 “为用户分配角色” 在 Satellite 中分配适当的角色。