9.7. sssd.conf 中用于为大型 IdM-AD 信任部署调整 IdM 服务器和客户端中的选项

在验证和授权用户时，了解用户所属的组而不是属于组的所有用户是非常重要地。当将 ignore_group_members 设为 true 时，SSSD 只检索关于组对象本身而不是其成员的信息，从而显著提高性能。

使用 subdomain_inherit 选项，您可以将 ignore_group_members 设置应用到可信 AD 域配置。subdomain_inherit 选项中列出的设置适用于主(IdM)域以及 AD 子域。

此参数控制 PAM 会话的结果被缓存多长时间，以避免在身份查找期间对身份提供商过度的往返。在 IdM 服务器和 IdM 客户端中填充复杂组成员资格的环境中，默认值 5 秒可能不足。红帽建议将 pam_id_timeout 设置为一个未缓存的单个登录所需的秒数。

对于存在用户是大量组的成员的环境，增加 krb5_auth_timeout 可以允许更多的时间来处理复杂的组信息。红帽建议把这个值设置为一个未缓存的登录所花的秒数。

解引用查找是在单个 LDAP 调用中获取所有组成员的方法。ldap_deref_threshold 值指定必须是内部缓存中缺少的组成员的数量，以触发解引用查找。如果缺少的成员较少，则会单独查找。在大型环境中，解引用查找可能需要很长时间，并降低性能。要禁用解引用查找，将此选项设置为 0。