第 14 章 配置外部身份验证

流程

1. 从 LDAP 服务器获取证书。

   1. 如果您使用 Active Directory 证书服务，请使用 Base-64 编码的 X.509 格式导出 Enterprise PKI CA 证书。有关从 Active Directory 服务器创建和导出 CA 证书的信息，请参阅如何在 Satellite 上使用 TLS 配置 Active Directory 身份验证。

   2. 将 LDAP 服务器证书下载到 Satellite 服务器上的临时位置，并在完成后将其删除。

      例如： /tmp/example.crt。文件名扩展 .cer 和 .crt 只是惯例，可以参考 DER 二进制文件或 PEM ASCII 格式证书。

2. 信任 LDAP 服务器的证书。

   Satellite 服务器要求 LDAP 身份验证的 CA 证书是 /etc/pki/tls/certs/ 目录中的单个文件。

   1. 使用 install 命令将导入的证书安装到具有正确权限的 /etc/pki/tls/certs/ 目录中：

      # install /tmp/example.crt /etc/pki/tls/certs/

      Copy to Clipboard Toggle word wrap

   2. 以 root 用户身份输入以下命令，信任从 LDAP 服务器获取的 example.crt 证书：

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

      Copy to Clipboard Toggle word wrap

   3. 重启 httpd 服务：

      # systemctl restart httpd

      Copy to Clipboard Toggle word wrap

流程

1. 将网络信息系统(NIS)服务布尔值设置为 true，以防止 SELinux 停止传出的 LDAP 连接：

   # setsebool -P nis_enabled on

   Copy to Clipboard Toggle word wrap
2. 在 Satellite Web UI 中，导航到 Administer > Authentication Sources。
3. 单击 Create LDAP Authentication Source。
4. 在 LDAP server 选项卡中，输入 LDAP 服务器的名称、主机名、端口和服务器类型。默认端口为 389，默认服务器类型是 POSIX （您可以根据身份验证服务器的类型选择 FreeIPA 或 Active Directory）。对于 TLS 加密连接，请选择 LDAPS 复选框以启用加密。端口应更改为 636，这是 LDAPS 的默认端口。
5. 在 Account 选项卡中，输入帐户信息和域名详情。有关描述和示例，请参阅 第 14.1.3 节 “LDAP 设置的描述”。
6. 在 属性映射选项卡上，将 LDAP 属性映射到 Satellite 属性。您可以映射登录名称、名字、姓氏、电子邮件地址和取消部署属性。例如，请参阅 第 14.1.4 节 “LDAP 连接设置示例”。
7. 在 位置 选项卡上，从左表中选择位置。所选位置分配给从 LDAP 身份验证源创建的用户，并在首次登录时可用。
8. 在 Organizations 选项卡上，从左侧表中选择机构。所选组织分配给从 LDAP 身份验证源创建的用户，并在首次登录时可用。
9. 点 Submit。

10. 为 LDAP 用户配置新帐户：

    • 如果您没有选择 Automatically Create Accounts In Satellite 复选框，请参阅 第 5.1.1 节 “创建用户” 以手动创建用户帐户。
    • 如果您选择了 Automatically Create Accounts In Satellite 复选框，则 LDAP 用户现在可以使用其 LDAP 帐户和密码登录 Satellite。首次登录后，Satellite 管理员必须手动为他们分配角色。请参阅 第 5.1.2 节 “为用户分配角色” 在 Satellite 中分配用户帐户适当的角色。