第 5 章 使用受管服务帐户访问 AD

Active Directory(AD)受管服务帐户(MSA)允许您在 AD 中创建与特定计算机对应的帐户。您可以使用 MSA 作为特定用户主体连接到 AD 资源，而无需将 RHEL 主机加入到 AD 域中。

本节讨论以下主题：

5.1. 使用受管服务帐户的好处

如果要允许 RHEL 主机在不加入的情况下访问 Active Directory(AD)域，您可以使用 Managed Service Account(MSA)访问该域。MSA 是 AD 中的一个帐户，对应于特定的计算机，您可将其用来连接到 AD 资源作为特定用户主体。

例如，如果 AD 域 production.example.com 与 lab.example.com AD 域有一个单向信任关系，则应用以下条件：

  • lab 域信任来自 production 域的用户和主机。
  • production 域不信任来自 lab 域中的用户和主机。

这意味着主机加入了 lab 域（如 client.lab.example.com）将无法通过信任访问来自 production 域的资源。

如果要为 client.lab.example.com 主机创建一个例外，可以使用 adcli 程序在 production.example.com 域中为 client 主机创建一个 MSA。要使用 MSA 的 Kerberos 主体进行身份验证，您可以从 client 主机在 production 域中执行安全 LDAP 搜索。