第 39 章 认证和互操作性

bind-dyndb-ldap 组件，BZ#1139776
bind-dyndb-ldap 系统插件的最新版本与之前的版本相比有极大的改进，但目前仍有局限性。其中之一就是不支持 LDAP 重命名（MODRDN）操作。结果是无法正确使用 LDAP 中重命名的 DNS 记录。作为临时解决方案，可在每次 MODRDN 操作后重启 named 守护进程，重新同步数据。在身份管理（IdM）集群的所有 IdM 副本中重启 named 守护进程。
ipa 组件，BZ#1187524
在完全服务器恢复的过程中，即使在 tar 归档中包含 IdM 备份文件，也无法在使用备份恢复服务器时打开用来重新导入后端的 userRoot.ldif 和 ipaca.ldif 文件。结果是在全面服务器恢复中会跳过这些文件。如果使用完全服务器备份恢复，恢复的后端可接收生成备份后的更新。这是不应该的，因为所有在生成备份及执行恢复之间的的更新都会丢失。服务器成功恢复，但包含无效数据。如果恢复的服务器包含无效数据，并使用它重启该副本，可成功初始化该副本，但副本中的数据是无效的。
目前没有临时解决方案。建议不要使用从完全服务器 IdM 备份中恢复的服务器重新初始化副本，这样可确保不会在恢复结束时或重新初始化过程中出现意外更新。
注：这个已知问题只存在于完全服务器 IdM 恢复，数据 IdM 恢复没有这个问题。
ipa (slapi-nis) 组件，BZ#1157757
将架构兼容性插件配置为使用 AD 的身份管理（IdM）跨林信任，提供 Active Directory（AD）用户对旧客户端的访问。389 Directory Server 可在某些条件下，根据收到的请求解析 AD 用户的复杂组成员关系，增加 CPU 消耗。
ipa 组件，BZ#1186352
使用备份恢复身份管理（IdM），并在其他副本中重新初始化恢复的数据时，架构兼容性插件仍会保留执行恢复及重新初始化前缓存的旧数据。结果是副本可能会出现意外行为。例如：如果尝试添加最初是在执行备份后添加的用户，并在恢复和创新初始化步骤中删除该用户，则操作可能会失败，并显示出错信息，因为架构兼容性缓存中包含冲突的用户条目。作为临时解决方案，在使用主服务器重新初始化 IdM 副本后，重启 IdM 副本。这样可清除 Schema Compatibility 缓存，并确定副本行为如所述情况。
ipa 组件，BZ#1188195
升级到身份管理（IdM）Red Hat Enterprise Linux 7.1 版本后，匿名及认证的用户都会丢失 facsimiletelephonenumber 用户属性的默认权限。要手动更改新的默认设置，使该属性再次可读，请运行以下命令： 
ipa permission-mod 'System: Read User Addressbook Attributes' --includedattrs facsimiletelephonenumber
ipa 组件，BZ#1189034
如果主机 DNS 区不是完全限定域名，ipa host-del --updatedns 命令不会更新主机 DNS 记录。在 Red Hat Enterprise Linux 7.0 和 6 中可以创建未限定区。如果在未限定 DNS 区中（比如 example.test，而不是结尾包含句点的 example.test.）运行 ipa host-del --updatedns，该命令会失败，并显示内部出错信息，并删除该主机，但不会删除其 DNS 记录。作为临时解决方案，请在运行 Red Hat Enterprise Linux 7.0 或 6 的 IdM 服务器中运行 ipa host-del --updatedns 命令，在这些系统中可如预期更新主机 DNS 记录，或在 Red Hat Enterprise Linux 7.1 中运行该命令更新主机 DNS 记录。
ipa 组件，BZ#1193578
身份管理（IdM）客户端中的 Kerberos 库默认通过用户数据包协议（User Datagram Protocol，UDP）沟通。使用一次性密码（OTP）可造成额外的延迟，并超过 Kerberos 超时限制。结果是 kinit 命令及其他 Kerberos 操作可报告通讯错误，同时会锁定该用户。作为临时解决方案，请通过在 /etc/krb5.conf 文件中将 udp_preference_limit 选项设定为 0，从而使用较慢的传输控制协议（Transmission Control Protocol，TCP）。
ipa 组件，BZ#1170770
在 IdM 中注册的主机无法属于同一 DNS 域，因为该 DNS 域属于一个 AD 林。当将 Active Directory（AD）林中的 DNS 域标记为属于身份管理（IdM）域时，AD 的跨林信任就无法工作，即使信任状态报告成功也不行。作为临时解决方案，请使用与现有 AD 林不同的 DNS 域部署 IdM。
如果已知 AD 和 IdM 中使用同样的 DNS 域，首先请运行 ipa realmdomains-show 命令显示 IdM 领域列表。然后运行 ipa realmdomains-mod --del-domain=wrong.domain 命令删除该列表中属于 AD 的 DNS 域。从 IdM 中取消在 AD 林 DNS 域注册的主机，并为这些主机选择与 AD 林不冲突的 DNS 名称。最后，使用 ipa trust-add 命令重新建立该信任，刷新 AD 林的跨林信任状态。
ipa 组件，BZ#988473
为身份管理（IdM）中的 Trusted Admins 组赋予轻加权目录访问控制（LDAP）对象的访问控制。要建立该信任，IdM 管理员应属于 Trusted Admins 组所属成员的组，并为这个组分配相对标识符（RD）512。要确保此操作完成，请运行 ipa-adtrust-install 命令，然后运行 ipa group-show admins --all 命令，验证 ipantsecurityidentifier 字段中包含以 -512 字符串结尾的值。如果该字段不是以 -512 结尾，请使用 ipa group-mod admins --setattr=ipantsecurityidentifier=SID 命令，其中 SID 是 ipa group-show admins --all 命令输出结果中的字段值，该值中以 -512 字符串替代最后的内容值 (-XXXX)。
sssd 组件，BZ#1024744
OpenLDAP 和 389 Directory Server（389 DS）服务器采用不同的方式解读宽限登录（grace login）。389 DS 将其视为剩余宽限登录数，而 OpenLDAP 将其视为已使用宽限登录数。目前，SSSD 只能处理 389 DS 语境。结果是使用 OpenLDAP 时，宽限登录密码可能警告可能不正确。
sssd 组件，BZ#1081046
SSSD 用来查看帐户是否过期的 accountExpires 属性不会默认在全局分类中复制。结果是在使用 GSSAPI 认证时，可让使用过期帐户的用户登录。作为临时解决方案，请在 sssd.conf 文件中指定 ad_enable_gc=False 禁用全局分类。使用这个设置，可在使用 GSSAPI 认证时，拒绝使用过期帐户的用户。注：在这种情况下，SSSD 分别与每个 LDAP 服务器连接，可造成连接数量增大。
sssd 组件，BZ#1103249
在某些情况下，SSSD 服务特权属性证书（PAC）响应方组件中的算法无法有效处理作为很多组成员的用户。结果是从 Windows 客户端登录至使用 Kerberos 单一登录（SSO）的 Red Hat Enterprise Linux 客户端的速度会明显缓慢。目前尚没有临时解决方案可用。
sssd 组件，BZ#1194345
SSSD 服务在进行 initgroup 查找时使用全局编录（GC），但不会默认将 POSIX 属性（比如用户主目录或 shell）复制到 GC 组中。结果是，在 SSSD 查找过程中 SSSD 请求 POSIX 属性时，SSSD 会错误地将这些属性视为要从服务器中删除的属性，因为它们没有出现在 GC 中，同时还会将其从 SSSD 缓存中删除。
作为临时解决方案，可在 sssd-ad.conf 文件中设定 ad_enable_gc=False 参数禁用 GC 支持，或者在 GC 中复制这些 POSIX 属性。禁用 GC 比较简单，但会造成该客户端无法解析跨域组成员。在 GC 中复制 POSIX 属性是更系统的解决方案，但需要更改 Active Directory（AD）架构。作为上述临时解决方案之一的结果是运行 getent passwd user 命令显示 POSIX 属性。注：即使正确设置 POSIX 属性，运行 id user 命令时可能也无法显示。
samba 组件，BZ#1186403
samba-common.x86_64 和 samba-common.i686 软件包中的二进制文件包含同样的文件路径，但其内容不同。结果是无法一同安装这些软件包，因为 RPM 禁止此类情况。
作为临时解决方案，如果主要需要的是 samba-common.x86_64，则不要安装 samba-common.i686；就是说在 kickstart 文件或已安装的系统中都不要安装。如果需要 samba-common.i686，则请避免安装 samba-common.x86_64。结果是可以安装系统，但每次只能使用一个架构中的 samba-common 软件包。