第 5 章 配置外部身份验证

流程

1. 从 LDAP 服务器获取证书。

   1. 如果您使用 Active Directory 证书服务，请使用以 Base-64 编码的 X.509 格式导出企业 PKI CA 证书。有关从 Active Directory 服务器创建和导出 CA 证书的信息，请参阅 如何通过 Satellite 上的 TLS 配置活动目录身份验证。

   2. 将 LDAP 服务器证书下载到卫星服务器上的临时位置，并在完成后删除它。

      例如： /tmp/example.crt。文件名扩展 .cer 和 .crt 只是约定，可以引用 DER 二进制或 PEM ASCII 格式证书。

2. 信任 LDAP 服务器的证书。

   Satellite 服务器要求 LDAP 身份验证的 CA 证书是 /etc/pki/tls/certs/ 目录中的单个文件。

   1. 使用 install 命令将导入的证书安装到具有正确权限的 /etc/pki/tls/certs/ 目录中：

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. 以 root 用户身份输入以下命令，以信任从 LDAP 服务器获取的 example.crt 证书：

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. 重启 httpd 服务：

      # systemctl restart httpd

流程

1. 将网络信息系统(NIS)服务布尔值设置为 true，以防止 SELinux 停止传出的 LDAP 连接：

   # setsebool -P nis_enabled on

2. 在 Satellite Web UI 中，进入到 Administer > Authentication Sources。
3. 单击 Create LDAP Authentication Source。
4. 在 LDAP 服务器 选项卡上，输入 LDAP 服务器的名称、主机名、端口和服务器类型。默认端口是 389，默认服务器类型是 POSIX （根据身份验证服务器的类型，也可以选择 FreeIPA 或 Active Directory）。对于 TLS 加密连接，请选择 LDAPS 复选框来启用加密。端口应更改为 636，这是 LDAPS 的默认设置。
5. 在帐户选项卡上，输入帐户信息和域名详细信息。有关描述和示例，请参阅 第 5.1.3 节 “LDAP 设置的描述”。
6. 在 属性映射 选项卡上，将 LDAP 属性映射到 Satellite 属性。您可以映射登录名称、名字、姓氏、电子邮件地址和照片属性。如需示例，请参阅 第 5.1.4 节 “LDAP 连接的设置示例”。
7. 在 位置 选项卡上，从左侧表中选择位置。所选位置分配给从 LDAP 身份验证源创建的用户，并在首次登录后可用。
8. 在 组织 选项卡上，从左侧表中选择组织。所选机构被分配给从 LDAP 身份验证源创建的用户，并在用户首次登录后可用。
9. 点 Submit。

10. 为 LDAP 用户配置新帐户：

    • 如果您没有选择 Automatically Create Accounts In Satellite 复选框，请参阅 管理 Red Hat Satellite 中的 创建用户 来手动创建用户帐户。
    • 如果您选择了 Automatically Create Accounts In Satellite 复选框，LDAP 用户现在可以使用其 LDAP 帐户和密码登录 Satellite。第一次登录后，卫星管理员必须手动将角色分配给它们。有关在 Satellite 中分配用户帐户的更多信息，请参阅管理 Red Hat Satellite 中的为用户分配角色。https://access.redhat.com/documentation/zh-cn/red_hat_satellite/6.15/html-single/administering_red_hat_satellite/index#Assigning_Roles_to_a_User_admin