第8章 既知の問題
本章では、Red Hat Enterprise Linux 7.9 の既知の問題を説明します。
8.1. 認証および相互運用性
最新のコンテナーイメージを使用して ipa-server をアップグレードすると、Active Directory との信頼が適切に動作しません。
最新バージョンのコンテナーイメージを使用して IdM サーバーをアップグレードすると、Active Directory ドメインとの既存の信頼は機能しなくなります。この問題を回避するには、既存の信頼を削除して、アップグレード後に再確立してください。
ldap_id_use_start_tls オプションのデフォルト値を使用する場合の潜在的なリスク。
ID ルックアップに TLS を使用せずに ldap:// を使用すると、攻撃ベクトルのリスクが生じる可能性があります。特に、中間者 (MITM) 攻撃は、攻撃者が、たとえば、LDAP 検索で返されたオブジェクトの UID または GID を変更することによってユーザーになりすますことを可能にする可能性があります。
現在、TLS を強制する SSSD 設定オプション ldap_id_use_start_tls は、デフォルトで false に設定されています。セットアップが信頼できる環境で動作していることを確認し、id_provider = ldap に暗号化されていない通信を使用しても安全かどうかを判断してください。注記: id_provider = ad および id_provider = ipa は、SASL および GSSAPI によって保護された暗号化接続を使用するため、影響を受けません。
暗号化されていない通信を使用することが安全ではない場合は、/etc/sssd/sssd.conf ファイルで ldap_id_use_start_tls オプションを true に設定して TLS を強制します。デフォルトの動作は、RHEL の将来のリリースで変更される予定です。
(JIRA:RHELPLAN-155168)
