第 3 章 配置 SSSD 以使用 LDAP 并需要 TLS 身份验证

系统安全服务守护进程(SSSD)是一个在 Red Hat Enterprise Linux 主机上管理身份数据检索和身份验证的守护进程。系统管理员可以将主机配置为使用独立 LDAP 服务器作为用户帐户数据库。管理员还可以指定与 LDAP 服务器的连接必须使用 TLS 证书加密的要求。

注意

强制 TLS ldap_id_use_start_tls 的 SSSD 配置选项，默认为 false。当使用没有 TLS 的 ldap:// 进行身份查找时，可能会导致攻击向量的风险，即中间人(MITM)攻击，它允许您通过更改，例如：更改 LDAP 搜索中返回的对象的 UID 或 GID 来冒充用户。

确保您的设置在可信环境中操作，并决定是否可以安全地对 id_provider = ldap 使用未加密的通信。注意 id_provider = ad 和 id_provider = ipa 不受影响，因为它们使用 SASL 和 GSSAPI 保护的加密连接。

如果使用未加密的通信不安全，您应该通过在 /etc/sssd/sssd.conf 文件中将 ldap_id_use_start_tls 选项设为 true 来强制实施 TLS。

3.1. 使用 SSSD 的 OpenLDAP 客户端以加密的方式从 LDAP 检索数据

LDAP 对象的验证方法可以是 Kerberos 密码，也可以是 LDAP 密码。请注意，此处无法解决 LDAP 对象的身份验证和授权问题。

重要

使用 LDAP 配置 SSSD 是一个复杂的流程，需要对 SSSD 和 LDAP 有非常专业的知识。考虑改为使用集成和自动化解决方案，如 Active Directory 或 Red Hat Identity Management (IdM)。有关 IdM 的详情，请参阅规划身份管理。