第 17 章 身份验证和互操作性

共享 root 目录时请勿将 SELinux 设定为 enforcing。

当 SELinux 处于 enforcing 模式时，Samba 要求将共享目录标记为 samba_share_t。但如果在 /etc/samba/smb.conf 文件中使用 path = / 配置共享该系统的整个 root 目录时，将 root 命令标记为 samba_share_t 会造成严重系统问题。
Red Hat 强烈建议不要将 root 目录标记为 samba_share_t。因此，请不要在使用 Samba 共享 root 目录时让 SELinux 处于 enforcing 模式。

SSSD 不支持 LDAP externalUser 属性

系统安全服务守护进程（SSSD）服务缺少对身份管理（ldM）方案中 externalUser LDAP 属性的支持。因此，使用 /etc/passwd 文件将 sudo 规则分配到本地账户时会失败。这个问题只影响 ldM 域及 Active Directory（AD）可信域以外的账户。
要临时解决这个问题，请按如下方法在 /etc/sssd/sssd.conf 文件的 [domain] 部分设置 LDAP sudo 搜索库： 
ldap_sudo_search_base = ou=sudoers,dc=example,dc=com
这就可以让 SSSD 解析 externalUser 中定义的用户。