Red Hat Training

A Red Hat training course is available for RHEL 8

第 71 章 在 IdM 中使用规范化 DNS 主机名

默认情况下,在 Identity Management(IdM)客户端上禁用 DNS 规范化,以避免潜在的安全风险。例如,如果攻击者控制 DNS 服务器和域中的主机,攻击者可以导致短主机名(如 demo )解析到被入侵的主机,如 bad .example.com。在这种情况下,用户连接到与预期不同的服务器。

本节论述了如何在 IdM 客户端中使用规范化主机名。

71.1. 向主机主体中添加别名

默认情况下,使用 ipa-client-install 命令注册的身份管理(IdM)客户端不允许在服务主体中使用短主机名。例如,在访问服务时,用户只能使用 host/demo.example.com@EXAMPLE.COM 而不是 host/demo@EXAMPLE.COM

这部分论述了如何向 Kerberos 主体添加别名。请注意,您也可以在 /etc/krb5.conf 文件中启用主机名规范化。详情请查看 第 71.2 节 “在客户端的服务主体中启用主机名规范”

先决条件

  • 已安装 IdM 客户端。
  • 主机名在网络中是唯一的。

流程

  1. admin 用户身份对 IdM 进行身份验证:

    $ kinit admin
  2. 将别名添加到主机主体。例如,要在 demo. examle.com 主机主体中添加 demo 别名:

    $ ipa host-add-principal demo.example.com --principal=demo