使用ADKerberos进行身份验证授权的Linux服务器是否需要计算机帐户？

概述我对使用Active Directory(AD)和Kerberos的 Linux服务器是否需要创建计算机帐户感到困惑？ 作为计算机的Linux服务器是否需要加入AD域,并且这样做有一个计算机帐户才能从AD获得身份验证/授权服务？ 以下是一些要求： >能够使用AD进行基于用户和组成员身份的身份验证 来自Linux服务器. >能够将本地Linux UID / GID号码映射到AD用户和组 名称(今天我 我对使用Active Directory(AD)和Kerberos的 Linux服务器是否需要创建计算机帐户感到困惑？
作为计算机的linux服务器是否需要加入AD域,并且这样做有一个计算机帐户才能从AD获得身份验证/授权服务？

以下是一些要求：

>能够使用AD进行基于用户和组成员身份的身份验证
来自linux服务器.
>能够将本地linux UID / GID号码映射到AD用户和组
名称(今天我们使用非AD LDAP服务器,我们为用户和组帐户保留UID / GID号码.
理想情况下,我想继续这种做法).
>能够将linux Sudoer权限映射到AD组.
>使用开源或社区工具/插件,如SSSD而不是
像Centrify这样的付费商业产品.

我担心在AD中为基于私有云的服务器创建/删除大量linux计算机帐户的痛苦可能不会那么长;但我希望使用AD的中央用户帐户商店的好处.

笔记：
我在2008R2功能级别使用RHEL和Centos 6-7 linux服务器以及windows Server 2012和AD.

解决方法 这里有两个不同的考虑因素：
1)身份验证(密码验证)
2)授权(身份映射/组成员资格等)

对于客户：
您可以通过匿名客户端(无域加入/主机信用)通过Kerberos进行身份验证(密码检查).但是,您无法使用host-creds(/etc/krb5.keytab)执行GSSAPI SSO和KDC验证.

对于授权,您需要能够对AD-DC进行LDAP绑定/查找.
通常,AD不允许匿名LDAP绑定,因此您需要某种客户端凭据.要么明确创建&维护服务帐户或主机信用(由域加入创建/维护).

在ldap.conf或sssd.conf文件中,您可以列出显式服务帐户信用或告诉它使用host-creds.
如果您有主机信用并在sssd中使用’ad’ID_provIDer,您将获得诸如自动主机信誉维护等优势.

请注意,如果要将AD用于授权服务,则需要将rfc2307样式信息(EG uIDNumber,gIDNumber等)添加到要在Unix / linux客户端上使用的每个用户帐户.

对于服务器：
如果他们要提供任何基于Kerberized / GSSAPI的服务,那么他们必须拥有主机信用(加入域)并在AD的计算机帐户中拥有有效的UPN / SPN记录.将AD视为提供Kerberos KDC功能.

例如：如果你有一个Kerberized NFSv4文件服务器,那么不仅需要一个“host / F.Q.D.N”SPN账号中需要一个“nfs / F.Q.D.N”SPN.在服务器上的krb5.keytab文件中.

总结

以上是内存溢出为你收集整理的使用AD / Kerberos进行身份验证/授权的Linux服务器是否需要计算机帐户？全部内容，希望文章能够帮你解决使用AD / Kerberos进行身份验证/授权的Linux服务器是否需要计算机帐户？所遇到的程序开发问题。

如果觉得内存溢出网站内容还不错，欢迎将内存溢出网站推荐给程序员好友。