5.3. 使用 Active Directory

流程

1. 在 satellite-installer 需要的位置定义 AD 域配置：

   1. 创建名为 /etc/ipa/ 的目录：

      # mkdir /etc/ipa/

      Copy to Clipboard Toggle word wrap

   2. 使用以下内容创建 /etc/ipa/default.conf 文件，为 AD 域配置 Kerberos 域：

      [global]
      realm = AD.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

2. 为 Kerberos 连接配置 Apache keytab：

   1. 使用以下设置更新 /etc/samba/smb.conf 文件，以配置 Samba 与 AD 交互的方式：

      [global]
      workgroup = AD.EXAMPLE
      realm = AD.EXAMPLE.COM
      kerberos method = system keytab
      security = ads

      Copy to Clipboard Toggle word wrap

   2. 将 Kerberos 服务主体添加到 /etc/httpd/conf/http.keytab 的 keytab 文件中：

      # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U Administrator -s /etc/samba/smb.conf

      Copy to Clipboard Toggle word wrap

3. 配置系统安全服务守护进程(SSSD)，以使用 AD 访问控制提供程序为 foreman PAM 服务评估和强制实施组策略对象(GPO)访问控制规则：

   1. 在 /etc /sssd/sssd.conf 文件的 [domain/ad.example.com] 部分中，配置 ad_gpo_access_control 和 ad_gpo_map_service 选项，如下所示：

      [domain/ad.example.com]
      ad_gpo_access_control = enforcing
      ad_gpo_map_service = +foreman

      Copy to Clipboard Toggle word wrap

      如需有关 GPO 的更多信息，请参阅以下文档：

      • SSSD 如何解释 GPO 访问控制规则，如何将 RHEL 系统直接与 Windows Active Directory (RHEL 9)集成
      • SSSD 如何解释 GPO 访问控制规则，如何将 RHEL 系统直接与 Windows Active Directory (RHEL 8)集成

   2. 重启 SSSD：

      # systemctl restart sssd

      Copy to Clipboard Toggle word wrap

4. 启用身份验证源：

   # satellite-installer --foreman-ipa-authentication=true

   Copy to Clipboard Toggle word wrap

流程

1. 启用 HBAC ：

   1. 创建一个外部组，并将 AD 组添加到其中。
   2. 将新的外部组添加到 POSIX 组。
   3. 在 HBAC 规则中使用 POSIX 组。

2. 配置 sssd 以传输 AD 用户的额外属性。

   • 将 AD 用户属性添加到 /etc/sssd/sssd.conf 中的 nss 和 domain 部分。例如：

     [nss]
     user_attributes=+mail, +sn, +givenname
     [domain/EXAMPLE.com]
     ...
     krb5_store_password_if_offline = True
     ldap_user_extra_attrs=email:mail, lastname:sn, firstname:givenname
     
     [ifp]
     allowed_uids = ipaapi, root
     user_attributes=+email, +firstname, +lastname

     Copy to Clipboard Toggle word wrap

   • 验证 AD 属性值。

     # dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:ad-user@ad-domain array:string:email,firstname,lastname

     Copy to Clipboard Toggle word wrap