1.3. IdM 的自定义配置要求

在干净的系统上安装身份管理(IdM)服务器，无需为 DNS、Kerberos、Apache 或 Directory Server 等服务进行任何自定义配置。

IdM 服务器安装覆盖了系统文件来设置 IdM 域。IdM 将原始系统文件备份到 /var/lib/ipa/sysrestore/。当在生命周期结束时卸载 IdM 服务器时，会恢复这些文件。

1.3.1. IdM 中的 IPv6 要求

IdM 系统必须在内核中启用 IPv6 协议。如果禁用 IPv6，IdM 服务使用的 CLDAP 插件将无法初始化。

注意

不必在网络中启用 IPv6。

1.3.2. 支持 IdM 中的加密类型

Red Hat Enterprise Linux (RHEL)使用 Kerberos 协议版本 5，它支持加密类型，如高级加密标准(AES)、Camellia 和数据加密标准(DES)。

支持的加密类型列表

虽然 IdM 服务器和客户端上的 Kerberos 库可能会支持更多的加密类型，但 IdM Kerberos 分发中心(KDC)只支持以下加密类型：

  • aes256-cts:normal
  • aes256-cts:special (默认)
  • aes128-cts:normal
  • aes128-cts:special （默认）
  • aes128-sha2:normal
  • aes128-sha2:special
  • aes256-sha2:normal
  • aes256-sha2:special
  • camellia128-cts-cmac:normal
  • camellia128-cts-cmac:special
  • camellia256-cts-cmac:normal
  • camellia256-cts-cmac:special

默认禁用 RC4 加密类型

RHEL 9 中默认禁用了以下 RC4 加密类型，因为它们被视为比新的 AES-128 和 AES-256 加密类型安全性低：

  • arcfour-hmac:normal
  • arcfour-hmac:special

有关手动启用 RC4 支持以与旧活动目录环境兼容的更多信息，请参阅 确保在 AD 和 RHEL 中对通用加密类型的支持。

删除了对 DES 和 3DES 加密的支持

由于安全考虑,在 RHEL 7 中弃用了对 DES 算法的支持。RHEL 8 中删除了 single-DES(DES)和 triple-DES(3DES)加密类型，且不会在 RHEL 9 中使用。

1.3.3. 支持 IdM 中系统范围的加密策略

IdM 使用 DEFAULT 系统范围的加密策略。此政策为当前威胁模型提供安全设置。它允许 TLS 1.2 和 1.3 协议，以及 IKEv2 和 SSH2 协议。如果 RSA 密钥和 Diffie-Hellman 参数至少是 2048 位，则可以接受它们。此策略不允许 DES、3DES、RC4、DSA、TLS v1.0 和其他较弱的算法。

注意

您不能使用 FUTURE 系统范围的加密策略来安装 IdM 服务器。安装 IdM 服务器时，请确保您使用的是 DEFAULT 系统范围的加密策略。

其它资源

1.3.4. FIPS 合规性

您可以在启用了联邦信息处理标准(FIPS)模式的系统上安装新的 IdM 服务器或副本。唯一的例外是启用了 FIPS:OSPP 加密子策略的系统。

要使用 FIPS 安装 IdM，首先在主机上启用 FIPS 模式，然后安装 IdM。IdM 安装脚本会检测是否 FIPS 已启用，并配置 IdM ，以只使用与 FIPS 140-3 兼容的加密类型：

  • aes128-sha2:normal
  • aes128-sha2:special
  • aes256-sha2:normal
  • aes256-sha2:special

要使 IdM 环境符合 FIPS，所有 IdM 副本都必须启用 FIPS 模式。

红帽建议您在 IdM 客户端中也启用 FIPS，特别是您可以将这些客户端提升到 IdM 副本。最终，由管理员来决定它们如何满足 FIPS 要求；红帽不强制执行 FIPS 标准。

迁移到符合 FIPS 的 IdM

您无法将现有 IdM 安装从非 FIPS 环境迁移到符合 FIPS 的安装。这不是技术问题，而是法律和监管限制。

要操作符合 FIPS 的系统，必须在 FIPS 模式下创建所有加密密钥资料。另外，加密密钥材料不得离开 FIPS 环境，除非它被安全包装，且永远不会在非 FIPS 环境中解封。

如果您的场景需要将非 FIPS IdM 领域迁移到符合 FIPS 的领域，您必须：

  1. 在 FIPS 模式下创建一个新 IdM 领域
  2. 使用阻止所有密钥材料的过滤器，从非 FIPS 领域执行到新 FIPS 模式领域的数据迁移

迁移过滤器必须阻止：

  • KDC 主密钥、keytab 以及所有相关 Kerberos 密钥材料
  • 用户密码
  • 所有证书，包括 CA、服务和用户证书
  • OTP 令牌
  • SSH 密钥和指纹
  • DNSSEC KSK 和 ZSK
  • 所有 vault 条目
  • 与 AD 信任相关的密钥材料

实际上，新的 FIPS 安装是一种不同的安装。即使具有严格的过滤，此类迁移可能无法通过 FIPS 140 认证。您的 FIPS 审核员可能会标记这个迁移。

支持启用了 FIPS 模式的跨林信任

要在启用了 FIPS 模式的情况下与活动目录(AD)建立跨林信任，您必须使用 AD 管理帐户进行身份验证。在启用 FIPS 模式时，您无法使用共享 secret 建立信任。

重要

RADIUS 身份验证不兼容 FIPS。如果您需要 RADIUS 身份验证，不要在启用了 FIPS 模式的服务器中安装 IdM。

其它资源