第 4 章 配置 SSSD 以使用 LDAP 并需要 TLS 身份验证

系统安全服务守护进程(SSSD)是一个在 Red Hat Enterprise Linux 主机上管理身份数据检索和身份验证的守护进程。系统管理员可以将主机配置为使用独立 LDAP 服务器作为用户帐户数据库。管理员还可以指定与 LDAP 服务器的连接必须使用 TLS 证书加密的要求。

注意

强制 TLS 的 SSSD 配置选项 ldap_id_use_start_tls ,默认为 false。当使用 ldap:// 而不是 TLS 进行身份查找时,可能会导致攻击向量的风险,即一个中间人(MITM)攻击,例如,它允许您通过更改 LDAP 搜索中返回对象的 UID 或 GID 用户来冒充用户。

确保您的设置在可信环境中可以操作,并决定是否可以安全地对 id_provider = ldap 使用未加密的通信。注意 id_provider = adid_provider = ipa 不受影响,因为它们使用 SASL 和 GSSAPI 保护的加密连接。

如果不能安全地使用未加密的通信,您应该通过在 /etc/sssd/sssd.conf 文件中将 ldap_id_use_start_tls 选项设为 true 来强制实施 TLS。

4.1. 使用 SSSD 的 OpenLDAP 客户端以加密的方式从 LDAP 检索数据

LDAP 对象的验证方法可以是 Kerberos 密码,也可以是 LDAP 密码。请注意,此处没有解决 LDAP 对象的身份验证和授权问题。

重要

使用 LDAP 配置 SSSD 是一个复杂的流程,需要对 SSSD 和 LDAP 有非常专业的知识。考虑改为使用集成和自动化解决方案,如 Active Directory 或 Red Hat Identity Management (IdM)。有关 IdM 的详情,请参阅规划身份管理