5.11. 身份管理

使用 OpenSSL 传统供应商的 MS-CHAP 验证

在以前的版本中,使用 MS-CHAP 的 FreeRADIUS 身份验证机制会失败,因为它们依赖于 MD4 hash 功能,而 MD4 已在 RHEL 9 中弃用。在这个版本中,如果您启用了 OpenSSL 旧供应商,您可以使用 MS-CHAP 或 MS-CHAPv2 验证 FreeRADIUS 用户。

如果您使用默认 OpenSSL 供应商、MS-CHAP 和 MS-CHAPv2 验证失败,并显示以下出错信息,显示这个修复:

 Couldn't init MD4 algorithm. Enable OpenSSL legacy provider.

(BZ#1978216)

运行 sudo 命令不再导出 KRB5CCNAME 环境变量

在以前的版本中,在运行 sudo 命令后,环境变量 KRB5CCNAME 指向原始用户的 Kerberos 凭证缓存,这些信息可能无法被目标用户访问。因此,与 Kerberos 相关的操作可能会失败,因为这个缓存无法访问。在这个版本中,运行 sudo 命令不再设置 KRB5CCNAME 环境变量,目标用户可以使用它们的默认 Kerberos 凭证缓存。

(BZ#1879869)

SSSD 可以正确地评估 /etc/krb5.conf 中 Kerberos keytab 名称的默认设置

在以前的版本中,如果您为 krb5.keytab 文件定义了一个非标准位置,SSSD 不会使用此位置,并使用默认的 /etc/krb5.keytab 位置。因此,当您试图登录系统时,登录会失败,因为 /etc/krb5.keytab 不包含条目。

在这个版本中,SSSD 会评估 /etc/krb5.conf 中的 default_keytab_name 变量,并使用此变量指定的位置。如果未设置 default_keytab_name 变量,SSSD 仅使用默认的 /etc/krb5.keytab 位置。

(BZ#1737489)

现在,使用 PBKDF2 算法以 FIPS 模式验证目录服务器可以正常工作

当目录服务器在联邦信息处理标准(FIPS)模式下运行时,K11_ExtractKeyValue() 函数不可用。因此,在更新之前,启用了 FIPS 模式时,使用基于密码的身份验证功能 2(PBKDF2)算法无法向服务器进行身份验证。有了这个更新,目录服务器使用 PK11_Decrypt() 函数来获取密码哈希数据。因此,使用 PBKDF2 算法哈希的密码验证现在可以正常工作。

(BZ#1779685)