5장. 관리형 서비스 계정을 사용하여 AD에 액세스

AD (Active Directory) Managed Service Accounts (MSA)를 사용하면 AD에서 특정 컴퓨터에 해당하는 계정을 만들 수 있습니다. MSA를 사용하여 RHEL 호스트를 AD 도메인에 가입하지 않고도 특정 사용자 주체로 AD 리소스에 연결할 수 있습니다.

이 섹션에서는 다음 항목에 대해 설명합니다.

5.1. 관리형 서비스 계정의 이점

RHEL 호스트가 AD(Active Directory) 도메인에 가입하지 않고 액세스할 수 있도록 하려면 MSA(Managed Service Account)를 사용하여 해당 도메인에 액세스할 수 있습니다. MSA는 특정 컴퓨터에 해당하는 AD의 계정이며, 특정 사용자 주체로 AD 리소스에 연결하는 데 사용할 수 있습니다.

예를 들어 AD 도메인 production.example.com 에 lab.example.com AD 도메인과 단방향 신뢰 관계가 있는 경우 다음 조건이 적용됩니다.

  • 랩 도메인은 production 도메인에서 사용자 및 호스트를 신뢰합니다.
  • production 도메인은 랩 도메인의 사용자 및 호스트를 신뢰하지 않습니다.

즉, client.lab.example.com 과 같은 랩 도메인에 연결된 호스트는 신뢰를 통해 프로덕션 도메인에서 리소스에 액세스할 수 없음을 의미합니다.

client.lab.example.com 호스트에 대한 예외를 생성하려면 adcli 유틸리티를 사용하여 production.example.com 도메인에 클라이언트 호스트에 대한 MSA를 생성할 수 있습니다. MSA의 Kerberos 주체로 인증하면 클라이언트 호스트에서 프로덕션 도메인에서 보안 LDAP 검색을 수행할 수 있습니다.