2.2. IdM 如何通过外部 IdP 融合登录
SSSD 2.7.0 包含 sssd-idp 软件包，该软件包可实施 idp Kerberos pre-authentication 方法。这个验证方法遵循 OAuth 2.0 设备授权流，将授权决策委派给外部 IdP：
-
IdM 客户端用户启动 OAuth 2.0 设备授权流，例如，通过在命令行中使用
kinit实用程序检索 Kerberos TGT。 - 一个特殊的代码和网站链接从授权服务器发送到 IdM KDC 后端。
- IdM 客户端显示用户的链接和代码。在本例中，IdM 客户端会在命令行上输出链接和代码。
用户在浏览器中打开网站链接，可以在另一个主机上、移动电话等：
- 用户输入特殊代码。
- 如有必要，用户登录到基于 OAuth 2.0 的 IdP。
- 系统将提示用户授权客户端访问信息。
- 用户在原始设备提示符处确认访问。在这个示例中，用户在命令行中点 Enter 键。
- IdM KDC 后端轮询 OAuth 2.0 授权服务器以访问用户信息。
支持什么：
-
启用了
键盘互动验证方法通过 SSH 远程登录，它允许调用可插拔式身份验证模块 (PAM) 库。 -
通过
logind服务，使用控制台本地登录。 -
使用
kinit实用程序检索 Kerberos ticket-granting ticket (TGT)。
当前不支持什么：
- 直接登录到 IdM WebUI。要登录到 IdM WebUI，您必须首先获取一个 Kerberos ticket。
- 直接登录 Cockpit WebUI。要登录 Cockpit Web UI，您必须首先获取一个 Kerberos ticket。
