第 5 章 配置外部身份验证

流程

1. 从 LDAP 服务器获取证书。

   1. 如果您使用 Active Directory 证书服务，请使用 Base-64 编码的 X.509 格式导出企业 PKI CA 证书。如需了解有关从 Active Directory 服务器创建和导出 CA 证书的信息，请参阅 如何在 Satellite 上使用 TLS 配置 Active Directory 身份验证。

   2. 将 LDAP 服务器证书下载到卫星服务器的临时位置，并在完成后将其删除。

      例如： /tmp/example.crt。文件名扩展 .cer 和 .crt 只是惯例，可以引用 DER 二进制文件或 PEM ASCII 格式证书。

2. 信任 LDAP 服务器的证书。

   Satellite 服务器要求 LDAP 身份验证的 CA 证书是 /etc/pki/tls/certs/ 目录中的各个文件。

   1. 使用 install 命令将导入的证书安装到 /etc/pki/tls/certs/ 目录中，并具有正确的权限：

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. 以 root 用户身份输入以下命令信任从 LDAP 服务器获取的 example.crt 证书：

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. 重启 httpd 服务：

      # systemctl restart httpd

流程

1. 将网络信息系统(NIS)服务布尔值设置为 true，以防止 SELinux 停止传出的 LDAP 连接：

   # setsebool -P nis_enabled on

2. 在 Satellite Web UI 中，导航到 Administer > Authentication Sources。
3. 单击 Create LDAP Authentication Source。
4. 在 LDAP 服务器 选项卡上，输入 LDAP 服务器的名称、主机名、端口和服务器类型。默认端口为 389，默认的服务器类型是 POSIX （根据身份验证服务器的类型，您可以选择 FreeIPA 或 Active Directory）。对于 TLS 加密连接，请选择 LDAPS 复选框来启用加密。端口应更改为 636，这是 LDAPS 的默认值。
5. 在 Account 选项卡中，输入帐户信息和域名详情。有关描述和示例，请参阅 第 5.1.3 节 “LDAP 设置描述”。
6. 在 属性映射选项卡上，将 LDAP 属性映射到 Satellite 属性。您可以映射登录名称、名字、姓氏、电子邮件地址和照片属性。如需示例，请参阅 第 5.1.4 节 “LDAP 连接设置示例”。
7. 在 位置 选项卡上，从左侧表中选择位置。所选位置将分配给从 LDAP 身份验证源创建的用户，并在首次登录时可用。
8. 在 组织 选项卡上，从左侧表中选择组织。所选机构被分配给从 LDAP 身份验证源创建的用户，并在首次登录时可用。
9. 点 Submit。

10. 为 LDAP 用户配置新帐户：

    • 如果您没有选择 Automatically Create Accounts In Satellite 复选框，请参阅 管理 Red Hat Satellite 中的 创建用户 来手动创建用户帐户。
    • 如果您选择了 Automatically Create Accounts In Satellite 复选框，则 LDAP 用户现在可以使用其 LDAP 帐户和密码登录 Satellite。在第一次登录时，Satellite 管理员必须手动为它们分配角色。有关在 Satellite 中分配用户帐户的更多信息，请参阅 管理 Red Hat Satellite 中的为用户分配角色。https://docs.redhat.com/en/documentation/red_hat_satellite/6.13/html-single/administering_red_hat_satellite/index#Assigning_Roles_to_a_User_admin