第 4 章 规划您的 DNS 服务和主机名

身份管理 (IdM) 在 IdM 服务器中提供不同类型的 DNS 配置。以下小节描述了它们，并提供了有关如何确定最适合您的用例的建议。

4.1. IdM 服务器中的 DNS 服务

您可以使用或不集成的 DNS 安装 Identity Management (IdM) 服务器。

表 4.1. 带有集成的 DNS 和没有集成的 DNS IdM 的比较

 带有集成的 DNS没有集成的 DNS

概述：

IdM 为 IdM 域运行自己的 DNS 服务。

IdM 使用由外部 DNS 服务器提供的 DNS 服务。

限制：

IdM 提供的集成 DNS 服务器只支持与 IdM 部署和维护相关的功能。它不支持通用 DNS 服务器的一些高级功能。具体限制如下：

  • IdM DNS 名称服务器必须是其区域的权威。
  • 支持的记录类型是 A, AAAA, A6, AFSDB,CERT, CNAME, DLV, DLV, DNAME, DS, KX, LOC, MX, NAPTR, NS, PTR, SRV, SSHFP, TLSA, TXT 和 URI。
  • 不支持拆分 DNS，也称为拆分视图, 拆分地平线, 脑裂 DNS。
  • 如果 DNS 名称服务器在多核环境中重新启动，则有已知问题。例如，如果日志轮转导致名称服务器重新启动，则名称服务器可能会崩溃。如果您必须使用多核设置，允许 systemd 在出现故障时重新启动名称服务器。

DNS 没有与原生 IdM 工具集成。例如，IdM 不会在拓扑更改后自动更新 DNS 记录。

这最适合于：

IdM 部署中的基本使用情况。

当 IdM 服务器管理 DNS 时，DNS 与原生 IdM 工具紧密集成，这样可启用自动化一些 DNS 记录管理任务。

需要 IdM DNS 范围之外的高级 DNS 功能的环境。

带有良好 DNS 基础架构的环境，其中您要继续使用外部 DNS 服务器。

即使将身份管理服务器用作主 DNS 服务器，其他外部 DNS 服务器仍可用作二级服务器。例如，如果您的环境已经使用另一个 DNS 服务器，例如与 Active Directory (AD) 集成的 DNS 服务器，您只能将 IdM 主域委派给与 IdM 集成的 DNS。不需要将 DNS 区域迁移到 IdM DNS。

注意

如果您需要在 Subject 备用名称 (SAN) 扩展中使用 IP 地址的 IdM 客户端发布证书，则必须使用 IdM 集成 DNS 服务。