Red Hat Training

A Red Hat training course is available for RHEL 8

111.3. IdM에서 새 도메인을 신뢰하는 경우 수동으로 ID 매핑 구성 추가

Samba에는 사용자가 리소스에 액세스하는 각 도메인에 대한 ID 매핑 구성이 필요합니다. IdM 클라이언트에서 실행되는 기존 Samba 서버의 경우 관리자가 새 신뢰성을 AD(Active Directory) 도메인에 추가한 후 수동으로 ID 매핑 구성을 추가해야 합니다.

사전 요구 사항

  • IdM 클라이언트에 Samba를 구성했습니다. 이후 IdM에 새로운 신뢰가 추가되었습니다.
  • Kerberos의 DES 및 RC4 암호화 유형은 신뢰할 수 있는 AD 도메인에서 비활성화해야 합니다. 보안상의 이유로 RHEL 8은 이러한 약한 암호화 유형을 지원하지 않습니다.

절차

  1. 호스트의 keytab을 사용하여 인증합니다. 

    [root@idm_client]# kinit -k

  2. ipa idrange-find 명령을 사용하여 새 도메인의 기본 ID 및 ID 범위 크기를 둘 다 표시합니다. 예를 들어 다음 명령은 ad.example.com 도메인의 값을 표시합니다. 

    [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
---------------
1 range matched
---------------
  cn: AD.EXAMPLE.COM_id_range
  ipabaseid: 1918400000
  ipaidrangesize: 200000
  ipabaserid: 0
  ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
  iparangetype: ipa-ad-trust
----------------------------
Number of entries returned 1
----------------------------

    다음 단계의 ipabaseid 및 ipaidrangesize 속성의 값이 필요합니다.

  3. 사용 가능한 가장 높은 ID를 계산하려면 다음 공식을 사용하십시오. 

    maximum_range = ipabaseid + ipaidrangesize - 1

    이전 단계의 값을 사용할 때 ad.example.com 도메인에 사용할 수 있는 가장 높은 ID는 1918599999 (1918400000 + 200000 - 1)입니다.

  4. /etc/samba/smb.conf 파일을 편집하고 도메인의 ID 매핑 구성을 [global] 섹션에 추가합니다. 

    idmap config AD : range = 1918400000 - 1918599999
idmap config AD : backend = sss

    ipabaseid 특성의 값을 가장 낮은 값으로 지정하고 이전 단계의 계산된 값을 가장 높은 범위 값으로 지정합니다.

  5. smb 및 winbind 서비스를 다시 시작하십시오. 

    [root@idm_client]# systemctl restart smb winbind

검증 단계

  • Kerberos 인증을 사용하여 Samba 서버의 공유를 나열합니다. 

    $ smbclient -L idm_client.idm.example.com -U user_name --use-kerberos=required
lp_load_ex: changing to config backend registry

    Sharename       Type      Comment
    ---------       ----      -------
    example         Disk
    IPC$            IPC       IPC Service (Samba 4.15.2)
...