3.7. 管理域用户的登录权限

默认情况下会应用域端访问控制，这意味着域用户的登录策略在域本身中定义。此默认行为可以被覆盖，以便使用客户端访问控制。使用客户端访问控制时，登录权限仅由本地策略定义。

如果域应用客户端访问控制，您可以使用 realmd 系统为来自该域的用户配置基本的允许或拒绝访问规则。请注意，这些访问规则允许或拒绝访问系统上的所有服务。必须在特定系统资源或域中设置更具体的访问规则。

要设置访问规则，请使用以下两个命令：

realm deny

realm deny 命令只是拒绝对域内所有用户的访问。使用此命令及 --all 选项。

域允许

realm allow 命令可用于：

向指定用户授予访问权限，例如：

$ realm permit user@example.com
$ realm permit 'AD.EXAMPLE.COM\user'

请注意，当前仅允许主域中的用户进行访问，不适用于可信域中的用户。这是因为虽然用户登录必须包含域名，但 SSSD 当前无法提供有关可用子域的信息。

重要

更为安全的一点是，仅允许特定选定用户或组进行访问，而不是拒绝访问某些用户或组，同时让其他用户均可访问。因此，我们不建议默认允许访问 all，而仅拒绝域允许 -x 的指定用户访问。相反，红帽建议为所有用户维护默认无访问权限策略，仅使用域允许向选定的用户授予访问权限。

有关 realm deny 和 realm allow 命令的详情请参考 realm(8) man page。