访问身份管理服务

按照以下流程，使用 kinit 工具手动向身份管理(IdM)环境进行身份验证。kinit 工具代表 IdM 用户获取并缓存 Kerberos 票据授予票(TGT)。

按照以下流程清除包含用户的活跃 Kerberos 票据的凭证缓存。

按照以下流程配置外部系统，以便身份管理(IdM)用户可以使用他们的 Kerberos 凭证从外部系统登录到 IdM。

当您的基础架构包含多个域或重叠域时，在外部系统上启用 Kerberos 身份验证非常有用。如果系统尚未通过 ipa-client-install 注册到任何 IdM 域，它也很有用。

要从不属于 IdM 域成员的系统启用对 IdM 的 Kerberos 身份验证，请在外部系统上定义特定于 IdM 的 Kerberos 配置文件。

外部系统上的用户现在可以使用 kinit 工具对 IdM 服务器进行身份验证。

有许多不同服务可以在 IdM 服务器和客户端上安装并运行。

IdM 使用 Kerberos 协议来支持单点登录。使用 Kerberos ，用户只需提供一次正确的用户名和密码，就可以访问 IdM 服务，而系统不需要再次提示输入凭证。

Kerberos 分为两部分：

有关如何在 IdM 中使用 Kerberos 进行身份验证的详情，请参考 从命令行登录到身份管理 和 在 Web UI 中登录到 IdM：使用 Kerberos 票据。

IdM LDAP 目录服务器 实例存储所有 IdM 信息，例如，与 Kerberos 、用户帐户、主机条目、服务、策略、DNS 等相关的信息。LDAP 目录服务器实例基于与 红帽目录服务器 相同的技术。但是，它被调优为特定于 IdM 的任务。

集成的 证书颁发机构(CA) 基于与 与红帽证书系统 相同的技术。pki 是用于访问证书系统服务的命令行界面。

如果您单独创建并提供了所有必需的证书，则您还可以安装没有集成 CA 的服务器。

如需更多信息，请参阅 规划您的 CA 服务。

IdM 使用 DNS 进行动态服务发现。IdM 客户端安装工具可使用 DNS 的信息来自动配置客户端机器。客户端注册到 IdM 域后，它使用 DNS 来定位域中的 IdM 服务器和服务。Red Hat Enterprise Linux 中的 DNS（域名系统）协议的 BIND （Berkeley 互联网名称域）实现包括 命名的 DNS 服务器。named-pkcs11 是使用对 PKCS#11 加密标准的原生支持构建的 BIND DNS 服务器版本。

如需更多信息，请参阅 规划 DNS 服务和主机名。

Apache HTTP Web 服务器 提供了 IdM Web UI，还管理证书颁发机构和其他 IdM 服务之间的通信。

Samba 在 Red Hat Enterprise Linux 中实现了服务器消息块(SMB)协议，也称为通用互联网文件系统(CIFS)协议。通过 smb 服务，SMB 协议可让您访问服务器上的资源，如文件共享和共享打印机。如果您使用活动目录(AD)环境配置了信任，'Winbind' 服务将管理 IdM 服务器和 AD 服务器之间的通信。

一次性密码(OTP)是由身份验证令牌为一个会话生成的密码，作为双因素身份验证的一部分。OTP 身份验证在 Red Hat Enterprise Linux 中是通过 ipa-otpd 服务实现的。

如需更多信息，请参阅 使用一次性密码登录到身份管理 Web UI。

OpenDNSSEC 是一个 DNS 管理器，自动化了跟踪 DNS 安全扩展(DNSSEC)密钥和区域签名的过程。ipa-dnskeysyncd 服务管理 IdM 目录服务器和 OpenDNSSEC 之间的同步。

系统安全服务守护进程 (SSSD)是客户端应用程序，其管理用户身份验证和缓存凭据。缓存可让本地系统在 IdM 服务器不可用或客户端离线时能够继续正常的身份验证操作。

如需更多信息，请参阅了解 SSSD 及其优势。

certmonger 服务监控并更新客户端上的证书。它可以为系统上的服务请求新的证书。

如需更多信息，请参阅 使用 certmonger 为服务获取 IdM 证书。

要查看 IdM 服务器上配置的 IdM 服务的状态，请运行 ipactl status 命令：

[root@server ~]# ipactl status
Directory Service: RUNNING
krb5kdc Service: RUNNING
kadmin Service: RUNNING
named Service: RUNNING
httpd Service: RUNNING
pki-tomcatd Service: RUNNING
smb Service: RUNNING
winbind Service: RUNNING
ipa-otpd Service: RUNNING
ipa-dnskeysyncd Service: RUNNING
ipa: INFO: The ipactl command was successful

服务器上 ipactl status 命令的结果取决于您的 IdM 配置。例如，如果 IdM 部署不包含 DNS 服务器，则 named 服务不会出现在列表中。

您可以启动或停止整个服务器，或仅单个服务。

要启动、停止或重启整个 IdM 服务器，请参阅：

要启动、停止或重启单个 IdM 服务，请参阅：

要显示 IdM 软件的版本，请参阅：

使用 ipa systemd 服务停止、启动或重启整个 IdM 服务器以及所有安装的服务。使用 systemctl 工具控制 ipa systemd 服务，确保所有服务都以适当的顺序停止、启动或重启。ipa systemd 服务也会在启动 IdM 服务之前升级 RHEL IdM 配置，并在管理 IdM 服务时使用合适的 SELinux 上下文。您不需要有一个有效的 Kerberos 票据来运行 systemctl ipa 命令。

# systemctl start ipa

停止整个 IdM 服务器：

# systemctl stop ipa

重启整个 IdM 服务器：

# systemctl restart ipa

要显示组成 IdM 的所有服务的状态，请使用 ipactl 工具：

# ipactl status

通常不建议手动更改 IdM 配置文件。然而，在某些情况下，需要管理员来执行特定服务的手动配置。在这种情况下，使用 systemctl 工具来停止、启动或重启单个 IdM 服务。

例如，自定义目录服务器行为，而不修改其他 IdM 服务后使用 systemctl：

# systemctl restart dirsrv@REALM-NAME.service

另外，在最初使用活动目录部署 IdM 信任时，请修改 /etc/sssd/sssd.conf 文件，并添加：

要应用您在 /etc/sssd/sssd.conf 文件中所做的更改：

# systemctl restart sssd.service

需要运行 systemctl restart sssd.service，因为系统安全服务守护进程(SSSD)不会自动重新读取或重新应用其配置。

请注意，对于影响 IdM 身份范围的更改，建议完全重启服务器。

# systemctl start name.service

要停止特定的 IdM 服务：

# systemctl stop name.service

要重启特定的 IdM 服务：

# systemctl restart name.service

要查看特定的 IdM 服务的状态：

# systemctl status name.service

您可以使用以下命令显示 IdM 版本号：

IPA 命令行界面(CLI)是身份管理(IdM)管理的基本命令行界面。

它支持很多管理 IdM 的子命令，如 ipa user-add 命令来添加新用户。

IPA CLI 允许您：

IPA 帮助是 IdM 服务器的内置文档系统。

IPA 命令行界面(CLI)从加载的 IdM 插件模块中生成可用的帮助主题。要使用 IPA 帮助工具，您必须：

输入没有选项的 ipa help 命令会显示有关基本帮助用法和最常见的命令示例的信息。

您可以对不同的 ipa help 用例使用以下选项：

$ ipa help [TOPIC | COMMAND | topics | commands]

以下流程描述了如何在命令行界面中使用 IPA 帮助。

IPA CLI 显示 user 主题的帮助页。阅读完概述后，您可以看到许多使用主题命令的模式示例。

以下流程描述了如何在命令行界面中创建 IPA 帮助命令。

IPA CLI 区分以下命令类型：

IPA 命令的结构允许您管理各种类型的对象。例如：

以及许多其他信息。

对于大多数这些对象，IPA CLI 包括以下命令来：

命令具有以下结构：

ipa user-add, ipa user-mod, ipa user-del, ipa user-find, ipa user-show

ipa host-add, ipa host-mod, ipa host-del, ipa host-find, ipa host-show

ipa dnsrecord-add, ipa dnsrecord-mod, ipa dnsrecord-del, ipa dnsrecord-find, ipa dnrecord-show

您可以使用 ipa user-add [options] 创建用户，其中 [options] 是可选的。如果您只使用 ipa user-add 命令，脚本将逐个询问您详细信息。

要更改现有对象，您需要定义对象，因此命令还包括一个对象：ipa user-mod USER_NAME [options]。

以下流程描述了如何使用命令行向身份管理(IdM)数据库添加一个新用户。

添加用户名后，用户帐户被添加到 IdM 数据库，IPA 命令行界面(CLI)会打印以下输出：

----------------------
Added user "euser"
----------------------
User login: euser
First name: Example
Last name: User
Full name: Example User
Display name: Example User
Initials: EU
Home directory: /home/euser
GECOS: Example User
Login shell: /bin/sh
Principal name: euser@IDM.EXAMPLE.COM
Principal alias: euser@IDM.EXAMPLE.COM
Email address: euser@idm.example.com
UID: 427200006
GID: 427200006
Password: False
Member of groups: ipausers
Kerberos keys available: False

$ ipa user-add --first=Example --last=User --password

您可以为每个用户帐户更改多个参数。例如，您可以为用户添加新密码。

基本命令语法与 user-add 语法不同，因为您需要定义要对其执行更改的现有用户帐户，例如，添加密码。

IPA CLI 打印以下输出：

----------------------
Modified user "euser"
----------------------
User login: euser
First name: Example
Last name: User
Home directory: /home/euser
Principal name: euser@IDM.EXAMPLE.COM
Principal alias: euser@IDM.EXAMPLE.COM
Email address: euser@idm.example.com
UID: 427200006
GID: 427200006
Password: True
Member of groups: ipausers
Kerberos keys available: True

现在，为帐户设置了用户密码，用户可以登录 IdM 了。

身份管理(IdM)将多值属性的值存储在列表中。

IdM 支持以下提供多值列表的方法：

上面的示例显示了命令 permission-add，它为对象添加权限。示例中没有提及对象。需要添加要为其添加权限的对象，而不是 …​。

当您从命令行更新此类多值属性时，IdM 会使用新列表完全覆盖以前的值列表。因此，当更新多值属性时，您必须指定整个新列表，而不只是您要添加的单个值。

例如，在以上命令中，权限列表包括读、写和删除。当您决定使用 permission-mod 命令更新列表时，您必须添加所有的值，否则未提及的值将被删除。

示例 1: -ipa permission-mod 命令更新所有以前添加的权限。

$ ipa permission-mod --right=read --right=write --right=delete ...

或者

$ ipa permission-mod --right={read,write,delete} ...

示例 2 - ipa permission-mod 命令会删除 --right=delete 参数，因为它没有包含在命令中：

$ ipa permission-mod --right=read --right=write ...

或者

$ ipa permission-mod --right={read,write} ...

将包含特殊字符的命令行参数传递给 ipa 命令时，请使用反斜杠(\)转义这些字符。例如，常见的特殊字符包括尖括号（< 和 >）、and(&)、星号(*)或竖线(|)。

例如，要转义星号(*)：

$ ipa certprofile-show certificate_profile --out=exported\*profile.cfg

包含未转义特殊字符的命令无法按预期工作，因为 shell 无法正确解析这些字符。

您可以使用 ipa *-find 命令帮助您搜索特定类型的 IdM 条目。

要列出所有 find 命令，请使用以下 ipa help 命令：

$ ipa help commands | grep find

您可能需要检查特定的用户是否包含在 IdM 数据库中。然后您可以使用以下命令列出所有用户：

$ ipa user-find

要列出其指定属性包含关键字的用户组：

$ ipa group-find keyword

例如，ipa group-find admin 命令列出了其名称或描述包含字符串 admin 的所有组：

----------------
3 groups matched
----------------
   Group name: admins
   Description: Account administrators group
   GID: 427200002

   Group name: editors
   Description: Limited admins who can edit other users
   GID: 427200002

   Group name: trust admins
   Description: Trusts administrators group

在搜索用户组时，您还可以将搜索结果限制为包含特定用户的组：

$ ipa group-find --user=user_name

搜索不包含特定用户的组：

$ ipa group-find --no-user=user_name

使用 ipa *-show 命令显示特定 IdM 条目的详情。

有些查询（比如请求 IdM 用户列表）可能会返回大量条目。通过调优这些搜索操作，您可以在运行 ipa *-find 命令时提高服务器的总体性能，例如 ipa user-find，并在 Web UI 中显示相应的列表。

如果您将值设为 -1，IdM 在搜索时不会应用任何限制。

IdM （身份管理）Web UI 是一个 IdM 管理的 Web 应用程序。您可以以以下方式访问 IdM Web UI：

身份管理(IdM)支持以下浏览器来连接到 Web UI：

[ssl:error] [pid 125757:tid 140436077168384] [client 999.999.999.999:99999] AH: verify client post handshake
[ssl:error] [pid 125757:tid 140436077168384] [client 999.999.999.999:99999] AH10158: cannot perform post-handshake authentication
[ssl:error] [pid 125757:tid 140436077168384] SSL Library Error: error:14268117:SSL routines:SSL_verify_client_post_handshake:extension not received

以下流程描述了首次使用密码登录到 IdM（身份管理）Web UI。

第一次登录后，您可以将 IdM 服务器配置为使用以下方式进行身份验证：

登录成功后，您可以开始配置 IdM 服务器。

身份管理(IdM)使用 Kerberos 协议来支持单点登录。单点登录身份验证允许您仅提供一次正确的用户名和密码，然后您就可以访问身份管理服务了，而系统不再提示输入凭据。

如果正确配置了 DNS 和证书设置，IdM 服务器会在安装后立即提供 Kerberos 身份验证。详情请参阅 安装身份管理。

要在主机上使用 Kerberos 身份验证，请安装：

按照以下流程，使用 kinit 工具手动向身份管理(IdM)环境进行身份验证。kinit 工具代表 IdM 用户获取并缓存 Kerberos 票据授予票(TGT)。

要启用使用 Kerberos 票据的身份验证，您可能需要浏览器配置。

以下步骤可帮助您支持 Kerberos 协商以访问 IdM 域。

每个浏览器支持 Kerberos 的方式不同，并且需要不同的设置。IdM Web UI 包含对以下浏览器的指南：

设置完成后，切回到 IdM Web UI，并单击 Log in。

按照以下流程，使用 Kerberos 票据授予票(TGT)登录到 IdM Web UI。

TGT 在预定义的时间过期。默认的时间间隔为 24 小时，您可以在 IdM Web UI 中更改它。

时间间隔过期后，您需要续订票据：

按照以下流程配置外部系统，以便身份管理(IdM)用户可以使用他们的 Kerberos 凭证从外部系统登录到 IdM。

当您的基础架构包含多个域或重叠域时，在外部系统上启用 Kerberos 身份验证非常有用。如果系统尚未通过 ipa-client-install 注册到任何 IdM 域，它也很有用。

要从不属于 IdM 域成员的系统启用对 IdM 的 Kerberos 身份验证，请在外部系统上定义特定于 IdM 的 Kerberos 配置文件。

外部系统上的用户现在可以使用 kinit 工具对 IdM 服务器进行身份验证。

要为活动目录用户启用 Web UI 登录，请在 Default Trust View 中为每个活动目录用户定义一个 ID 覆盖。例如：

[admin@server ~]$ ipa idoverrideuser-add 'Default Trust View' ad_user@ad.example.com

一次性密码可为您的身份验证安全性增加一步。身份验证使用您的密码 + 自动生成的一次性密码。

要生成一次性密码，您可以使用硬件或软件令牌。IdM 同时支持软件和硬件令牌。

身份管理支持以下两个标准的 OTP 机制：

身份管理(IdM)管理员可以全局或单独为 IdM 用户启用双因素身份验证(2FA)。用户在命令行或者 Web UI 登录对话框中的专用字段中的常规密码之后输入一次性密码(OTP)，在这些密码之间没有空格。

启用 2FA 与强制执行 2FA 不同。如果您使用基于 LDAP-binds 的登录，IdM 用户仍可以只通过输入密码来进行身份验证。但是，如果您使用基于 krb5 的登录，则强制使用 2FA。在以后的发行版本中，红帽计划为管理员提供一个选择以下内容之一的配置选项：

完成此流程，以使用 IdM Web UI 为单独的 example.user IdM 用户启用 2FA。

此时，为 IdM 用户启用了 OTP 身份验证。

现在，您或 example.user 必须向 example.user 帐户分配一个新的令牌 ID。

要启用从专有一次性密码(OTP)解决方案迁移到身份管理(IdM)原生的 OTP 解决方案的大型部署，IdM 提供了一种将 OTP 验证卸载到用户子集的第三方 RADIUS 服务器的方法。管理员创建一组 RADIUS 代理，其中每个代理只能引用一个 RADIUS 服务器。如果需要寻址多个服务器，建议创建一个指向多个 RADIUS 服务器的虚拟 IP 解决方案。

例如，此类解决方案必须在 keepalived 守护进程的帮助下，在 RHEL IdM 之外构建。然后，管理员将这些代理集中的一个分配给用户。只要用户分配了 RADIUS 代理集，IdM 就会绕过所有其他身份验证机制。

完成流程，来为 OTP 验证配置 RADIUS 服务器，并将用户添加到代理服务器中：

因此，RADIUS 代理服务器开始处理用户 OTP 身份验证。

当用户准备好迁移到 IdM 原生 OTP 系统时，您可以简单地删除用户的 RADIUS 代理分配。

下面的章节帮助您将令牌添加到 IdM Web UI ，以及您的软件令牌生成器中。

现在，您可以生成一次性密码，并使用它们登录到 IdM Web UI。

按照以下流程，使用一次性密码(OTP)首次登录到 IdM Web UI。

登录成功后，会出现 IdM Web UI。

如果使用 OTP 登录（一次性密码）失败，OTP 令牌不会被正确同步。

以下文本描述了令牌重新同步。

同步成功后，您可以登录到 IdM 服务器。

身份管理的管理员可以强制您在下一次登录时更改密码。这意味着，在更改密码之前，您无法成功登录到 IdM Web UI。

您第一次登录到 Web UI 时可能会出现密码过期。

如果出现密码过期对话框，请按照流程中的说明操作。

成功更改密码后，将显示常见的登录对话框。使用新密码登录。

要以 OTP 用户身份检索一个 Kerberos 票据授予票据(TGT)，请请求一个匿名 Kerberos 票据，并通过 Secure Tunneling (FAST)通道启用 Flexible Authentication，以便在 Kerberos 客户端和 Kerberos 分发中心(KDC)之间提供一个安全连接。

默认情况下，Identity Management (IdM) 使用系统范围的加密策略。这个策略的好处是您不需要手动强化独立的 IdM 组件。

默认情况下，启用匿名绑定到 Identity Management(IdM)LDAP 服务器。匿名绑定可以公开某些配置设置或目录值。但是，一些实用程序（如 realmd 或 较旧的 RHEL 客户端）需要启用匿名绑定来发现注册客户端时的域设置。

您可以使用 LDAP 工具重置 nsslapd-allow-anonymous-access 属性来禁用 Identity Management(IdM)389 Directory Server 实例上的匿名绑定。

这些是 nsslapd-allow-anonymous-access 属性的有效值：

红帽不推荐通过将属性设置为 off 来完全禁止匿名绑定，因为这也会阻止外部客户端检查服务器配置。LDAP 和 Web 客户端不一定是域客户端，因此它们会匿名连接，以读取 root DSE 文件来获取连接信息。

将 nsslapd-allow-anonymous-access 属性的值更改为 rootdse，您允许访问 root DSE 和服务器配置而无需访问目录数据。

下表显示 Identity Management (IdM) 服务器和客户端用来记录信息的目录和文件。您可以使用文件和目录排除安装错误。

下表显示 Identity Management (IdM) 目录服务器 (DS) 实例用来记录信息的目录和文件。您可以使用文件和目录对 DS 相关问题进行故障排除。

按照以下流程，为审计目的在身份管理(IdM)服务器上启用日志记录。使用详细的日志，您可以监控数据、对问题进行故障排除，以及检查网络上的可疑活动。

按照以下流程获取有关特定类型的错误的调试信息。该示例重点是通过将错误日志级别设为 8192 来获取有关复制的详细的错误日志。要记录不同类型的信息，请在 Red Hat Directory Server 文档中 错误日志记录级别 的表中选择不同的编号。

下表显示 Identity Management (IdM) Apache 服务器用来记录信息的目录和文件。

下表显示 Identity Management (IdM) 证书系统用来记录信息的目录和文件。

下表列出了 Kerberos 用来在 Identity Management (IdM) 中记录信息的目录和文件。

下表列出了 DNS 用来在 Identity Management (IdM) 中记录信息的目录和文件。

下表显示了 Custodia 用来记录 Identity Management (IdM) 中的目录和文件。