跳至主要內容

访问身份管理服务

大约 61 分钟

访问身份管理服务

来源：官方文档 原始多页入口：访问身份管理服务 内容规模：约 41,937 字符，79 个章节标题，113 个命令/代码块，31 条提示框

阅读提要

  • 副标题：登录到 IdM 并管理其服务
  • 摘要：在 Red Hat Identity Management (IdM)中执行管理任务前，您必须登录到该服务。当您使用命令行或 IdM Web UI 登录时，您可以使用 Kerberos 和一次性密码作为 IdM 中的身份验证方法。
  • 主要章节：登录到 IdM 并管理其服务；对红帽文档提供反馈；第 1 章 从命令行登录到身份管理；第 2 章 查看、启动和停止身份管理服务；第 3 章 IdM 命令行工具简介；第 4 章 从命令行搜索身份管理条目；第 5 章 在 web 浏览器中访问 IdM Web UI；第 6 章 在 Web UI 中登录到 IdM: 使用 Kerberos 票据；第 7 章 使用一次性密码登录到身份管理 Web UI；第 8 章 保护 LDAP 访问；第 9 章 RHEL 中 IdM 的安全加固；第 10 章 IdM 日志文件和目录
  • 推荐阅读顺序：先看“阅读提要”和目录，再按章节查看“关键点/命令/注意”；需要原文细节时点击来源链接。

章节笔记

概览

  • 该章节主要为下一级主题的入口。

登录到 IdM 并管理其服务

  • 要点：摘要

对红帽文档提供反馈

  • 要点：我们致力于为您提供高质量的文档，您的反馈将对我们有很大帮助。为帮助我们改进，您可以通过 Red Hat Jira 跟踪系统提交建议或报告错误。
  • 要点：流程
  • 列表：登录到 Jira 网站。 如果您还没有帐户，请创建一个。
  • 列表：单击顶部导航栏中的 Create。
  • 列表：在 Summary 字段中输入描述性标题。
  • 列表：在 Description 字段中输入您对改进的建议。包括文档相关部分的链接。
  • 列表：点窗口底部的 Create。

第 1 章 从命令行登录到身份管理

  • 要点：身份管理(IdM)使用 Kerberos 协议来提供单点登录(SSO)。您可以使用 SSO 通过用户名和密码进行身份验证，以访问所有授权的 IdM 服务，而无需系统再次提示输入凭证。
  • 要点：如果您清除了 Kerberos 凭证缓存或者 Kerberos TGT 已过期，您必须手动请求一个新的票据来保持对 IdM 资源的访问权限。以下章节介绍了在 IdM 中使用 Kerberos 的基本用户操作。
  • 注意：重要 在 IdM 中，当用户成功登录到具有相应 Kerberos 主体名称的 IdM 客户端机器上的桌面环境后，SSSD 会自动为用户获取一个票据授予票据(TGT)。这意味着登录后，用户不需要使用 kinit 工具来访问 IdM 资源。

1.1. 使用 kinit 手动登录到 IdM

  • 要点：使用 kinit 工具手动向身份管理(IdM)环境进行身份验证。如果您的初始票据已过期或被销毁，您可以使用这个实用程序获取并缓存 Kerberos 票据授予票据(TGT)。
  • 要点：作为 IdM 用户，当登录到本地机器时，您也会自动登录到 IdM。这意味着登录后，您不需要使用 kinit 工具来访问 IdM 资源。
  • 列表：要使用当前本地用户身份进行身份验证，请直接运行 kinit，无需指定用户名。例如，如果您以本地系统上的 <example_user> 身份登录： [example_user@server ~]$ kinit Password for example_user@EXAMPLE.COM: [example_user@server ~]$ 如果本地用户的用户名与 IdM 中的任何用户条目都不匹配，则身份验证尝试失败： [example_user@server ~]$ kinit kinit: Client 'example_user@EXAMPLE.COM' not found in Kerberos database while ge…
  • 列表：要使用其他 IdM 主体进行身份验证，请使用 kinit 命令指定用户名。例如，要以 admin 用户身份登录： [example_user@server ~]$ kinit admin Password for admin@EXAMPLE.COM: [example_user@server ~]$ 注意 使用 kinit -kt KDB 请求用户票据：user@EXAMPLE.COM 被禁用。如需更多信息，请参阅 为什么 kinit -kt KDB: user@EXAMPLE.COM 在 CVE-2024-3183 后不再正常工作 解决方案。
  • 列表：要验证登录是否成功，请使用 klist 工具显示缓存的 TGT。在以下示例中，缓存包含 <example_user>主体的票据，这意味着在这个特定主机上，目前只 <example_user> 允许访问 IdM 服务： $ klist Ticket cache: KEYRING:persistent:0:0 Default principal: example_user@EXAMPLE.COM Valid starting Expires Service principal 11/10/2019 08:35:45 11/10/2019 18:35:45 krbtgt/EXAMPLE.COM@EXAMPLE.COM
  • 命令/配置摘录：
[example_user@server ~]$ kinit
Password for example_user@EXAMPLE.COM: [example_user@server ~]$
  • 注意：注意 使用 kinit -kt KDB 请求用户票据：user@EXAMPLE.COM 被禁用。如需更多信息，请参阅 为什么 kinit -kt KDB: user@EXAMPLE.COM 在 CVE-2024-3183 后不再正常工作 解决方案。

1.2. 销毁用户的活动的 Kerberos 票

  • 要点：您可以通过销毁活跃的 Kerberos 票据来清除凭证缓存。销毁 Kerberos 票据可确保后续对服务的请求都需要一个新的票据授予票据(TGT)。
  • 要点：步骤
  • 列表：销毁您的 Kerberos 票： [example_user@server ~]$ kdestroy
  • 列表：检查 Kerberos 票据是否已销毁： [example_user@server ~]$ klist klist: Credentials cache keyring 'persistent:0:0' not found
  • 命令/配置摘录：
[example_user@server ~]$ kdestroy
[example_user@server ~]$ klist

1.3. 为 Kerberos 身份验证配置外部系统

  • 要点：通过定义特定于 IdM 的 Kerberos 配置文件并设置 KRB5_CONFIG 环境变量，为 Kerberos 身份验证配置系统。
  • 要点：当您的基础架构包含多个域或重叠域时，在外部系统上启用 Kerberos 身份验证非常有用。如果系统尚未通过 ipa-client-install 注册到任何 IdM 域，它也很有用。
  • 列表：krb5-workstation 软件包已安装在外部系统上。要验证安装，请使用以下 CLI 命令： # dnf list installed krb5-workstation Installed Packages krb5-workstation.x86_64 1.16.1-19.el8 @BaseOS
  • 列表：将 /etc/krb5.conf 文件从 IdM 服务器复制到外部系统。例如： # scp /etc/krb5.conf root@externalsystem.example.com:/etc/krb5_ipa.conf 警告 不要覆盖外部系统上现有的 krb5.conf 文件。
  • 列表：在外部系统上，将终端会话设置为使用复制的 IdM Kerberos 配置文件： $ export KRB5_CONFIG=/etc/krb5_ipa.conf KRB5_CONFIG 变量仅在退出之前暂时存在。要防止其丢失，请使用其他文件名导出变量。
  • 列表：将 Kerberos 配置代码段从 /etc/krb5.conf.d/ 目录复制到外部系统。 外部系统上的用户现在可以使用 kinit 工具对 IdM 服务器进行身份验证。
  • 命令/配置摘录：
# dnf list installed krb5-workstation
Installed Packages krb5-workstation.x86_64 1.16.1-19.el8 @BaseOS
  • 注意：警告 不要覆盖外部系统上现有的 krb5.conf 文件。

第 2 章 查看、启动和停止身份管理服务

  • 要点：监控身份管理(IdM)服务，以确保域可用性，并将您所做的任何更改应用到系统。通过使用 systemctl 和 ipactl 工具，您可以验证服务状态，在手动配置更改后重启组件，并从系统中断中恢复。

2.1. IdM 服务器和客户端服务概述

  • 要点：IdM 服务器和客户端运行多个核心系统服务，包括 Kerberos、LDAP 和 DNS。查看 IdM 功能之间的关系，如身份验证、目录存储和证书管理，以及这些功能对应的系统守护进程。

2.1.1. IdM 服务器托管的服务列表

  • 要点：以下大多数服务并没严格要求安装到 IdM 服务器上。例如，您可以在 IdM 域外的外部服务器上安装诸如证书颁发机构(CA)或 DNS 服务器等服务。
  • 要点：IdM 使用 Kerberos 协议来支持单点登录。使用 Kerberos ，用户只需提供一次正确的用户名和密码，就可以访问 IdM 服务，而系统不需要再次提示输入凭证。
  • 列表：Kerberos: krb5kdc 和 kadmin 服务。
  • 列表：krb5kdc 服务是 Kerberos 身份验证服务和密钥分发中心(KDC)守护进程。
  • 列表：kadmin 服务是 Kerberos 数据库管理程序。
  • 列表：LDAP 目录服务器 ：dirsrv 服务。
  • 列表：证书颁发机构 ：pki-tomcatd 服务。
  • 列表：域名系统(DNS)：named 服务。
  • 注意：注意 DNSSEC 在 IdM 中仅作为技术预览提供。

2.1.2. IdM 客户端托管的服务列表

  • 要点：系统安全服务守护进程 (SSSD)是客户端应用程序，其管理用户身份验证和缓存凭据。缓存可让本地系统在 IdM 服务器不可用或客户端离线时能够继续正常的身份验证操作。
  • 要点：如需更多信息，请参阅了解 SSSD 及其优势。
  • 列表：系统安全服务守护进程 ：sssd 服务。
  • 列表：Certmonger ：certmonger 服务。

2.2. 查看 IdM 服务的状态

  • 要点：使用 ipactl 工具验证身份管理(IdM)组件的操作状态。监控这些服务可确保核心域功能（如身份验证和目录查找）处于活跃状态并响应请求。
  • 要点：步骤
  • 列表：要查看 IdM 服务器上配置的 IdM 服务的状态，请运行 ipactl status 命令： [root@server ~]# ipactl status Directory Service: RUNNING krb5kdc Service: RUNNING kadmin Service: RUNNING named Service: RUNNING httpd Service: RUNNING pki-tomcatd Service: RUNNING smb Service: RUNNING winbind Service: RUNNING ipa-otpd Service: RUNNING ipa-dnskeysyncd S…
  • 命令/配置摘录：
[root@server ~]# ipactl status
Directory Service: RUNNING krb5kdc Service: RUNNING kadmin Service: RUNNING named Service: RUNNING httpd Service: RUNNING pki-tomcatd Service: RUNNING smb Service: RUNNING winbind Service: RUNNING ipa-otpd Service: RUNNING ipa-dnskeysyncd Service: RUNNING ipa: INFO: The ipactl command was successful
  • 注意：注意 您不能使用 IdM Web UI 来查看在特定 IdM 服务器上运行的所有 IdM 服务的状态。可以在 IdM Web UI 的 Identity → Services 选项卡中查看在不同服务器上运行的 Kerberized 服务。

2.3. 启动和停止整个身份管理服务器

  • 要点：使用 ipa systemd 服务停止、启动或重启整个 IdM 服务器以及所有安装的服务。使用 systemctl 工具控制 ipa systemd 服务，确保所有服务都以适当的顺序停止、启动或重启。
  • 要点：ipa systemd 服务也会在启动 IdM 服务之前升级 RHEL IdM 配置，并在管理 IdM 服务时使用合适的 SELinux 上下文。您不需要有一个有效的 Kerberos 票据来运行 systemctl ipa 命令。
  • 列表：启动整个 IdM 服务器： # systemctl start ipa
  • 列表：停止整个 IdM 服务器： # systemctl stop ipa
  • 列表：重启整个 IdM 服务器： # systemctl restart ipa
  • 列表：要显示所有 IdM 服务的状态，请使用 ipactl 工具： # ipactl status
  • 命令/配置摘录：
# systemctl start ipa
# systemctl stop ipa
  • 注意：重要 不要直接使用 ipactl 工具来启动、停止或重启 IdM 服务。使用 systemctl ipa 命令，其在可预测的环境中调用 ipactl 工具。 您不能使用 IdM Web UI 来执行 ipactl 命令。

2.4. 启动和停止单个身份管理服务

  • 要点：管理单个身份管理(IdM)服务，以便在故障排除或调整系统安全服务守护进程(SSSD)设置时应用手动配置更改。
  • 要点：流程
  • 列表：要启动特定的 IdM 服务： # systemctl start <name>.service
  • 列表：要停止特定的 IdM 服务： # systemctl stop <name>.service 重要 您不能使用 IdM Web UI 来启动或停止在 IdM 服务器上运行的单个服务。您只能使用 Web UI 来修改 Kerberized 服务的设置，方法是导航到 Identity → Services ，并选择服务。
  • 列表：要重启特定的 IdM 服务： # systemctl restart <name>.service 例如，要应用您在 /etc/sssd/sssd.conf 文件中所做的更改： # systemctl restart sssd.service 请注意，对于影响 IdM 身份范围的更改，建议完全重启服务器。
  • 列表：要查看特定的 IdM 服务的状态： # systemctl status <name>.service
  • 列表：启动和停止整个身份管理服务器
  • 命令/配置摘录：
# systemctl start <name>.service
# systemctl stop <name>.service
  • 注意：重要 要重启多个 IdM 域服务，请始终使用 systemctl restart ipa。由于与 IdM 服务器一起安装的服务之间的依赖关系，这些服务启动和停止的顺序至关重要。ipa systemd 服务确保服务以适当的顺序启动和停止。
  • 注意：重要 您不能使用 IdM Web UI 来启动或停止在 IdM 服务器上运行的单个服务。您只能使用 Web UI 来修改 Kerberized 服务的设置，方法是导航到 Identity → Services ，并选择服务。

2.5. 显示 IdM 软件版本

  • 要点：确认身份管理(IdM)安装的版本，以确保与客户端系统兼容，或在故障排除期间提供技术详情。
  • 要点：您可以使用以下命令显示 IdM 版本号：
  • 列表：IdM WebUI
  • 列表：ipa 命令
  • 列表：rpm 命令
  • 列表：要通过 Web UI 查看版本，请从右上角的用户菜单中选择 About。
  • 列表：要通过命令行显示版本，请使用 ipa --version 命令： [root@server ~]# ipa --version VERSION: 4.8.0, API_VERSION: 2.233
  • 列表：要在 IdM 服务没有正确运行时显示版本，请使用 rpm 工具来确定当前安装的 ipa-server 软件包的版本号： [root@server ~]# rpm -q ipa-server ipa-server-4.8.0-11.module+el8.1.0+4247+9f3fd721.x86_64
  • 命令/配置摘录：
[root@server ~]# ipa --version
VERSION: 4.8.0, API_VERSION: 2.233

第 3 章 IdM 命令行工具简介

  • 要点：您可以使用身份管理(IdM)命令行界面(CLI)和实用程序自动执行基本管理任务，如创建用户和管理证书。

3.1. 先决条件

  • 列表：已安装并可访问的身份管理(IdM)服务器。
  • 列表：要使用 IPA 命令行界面，请使用有效的 Kerberos 票向 IdM 进行身份验证。

3.2. 什么是 IPA 命令行界面

  • 要点：使用 IPA 命令行界面(CLI)管理您的身份管理(IdM)环境。CLI 提供了一组全面的子命令，用于自动管理用户和主机、安全策略和证书。
  • 要点：您可以使用 IPA CLI 执行以下操作：
  • 列表：在网络中添加、管理或删除用户、组、主机和其他对象。
  • 列表：管理证书。
  • 列表：搜索目录以查找特定条目并查看其详情。
  • 列表：显示和列出对象。
  • 列表：设置访问权限。
  • 列表：访问帮助信息来查找正确的命令语法和可用选项。

3.3. IPA 帮助是什么

  • 要点：访问内置身份管理(IdM)文档，以获取命令语法、使用示例和可用的子命令。IPA 命令行界面(CLI)从加载的 IdM 插件模块中生成可用的帮助主题。
  • 要点：ipa help 工具对查询采用特定的结构：
  • 列表：[] - 方括号表示所有参数都是可选的，您可以只写 ipa help，命令就可执行。
  • 列表：| - 管道符表示 或 。因此，您可以使用基本的 ipa help 命令指定 TOPIC、COMMAND 或 topics、commands ： topics — 您可以运行命令 ipa help topics 来显示 IPA 帮助涵盖的主题列表，如 user、cert、server 等。 TOPIC  —  大写字母的 TOPIC 是一个变量。因此，您可以指定一个特定的主题，例如 ipa help user。 commands  — 您可以输入命令 ipa help commands 来显示 IPA 帮助所涵盖的命令列表，如 user-add、ca-enable、server-show 等。 COMMAND — 大写字母的 CO…
  • 列表：topics — 您可以运行命令 ipa help topics 来显示 IPA 帮助涵盖的主题列表，如 user、cert、server 等。
  • 列表：TOPIC  —  大写字母的 TOPIC 是一个变量。因此，您可以指定一个特定的主题，例如 ipa help user。
  • 列表：commands  — 您可以输入命令 ipa help commands 来显示 IPA 帮助所涵盖的命令列表，如 user-add、ca-enable、server-show 等。
  • 列表：COMMAND — 大写字母的 COMMAND 是一个变量。因此，您可以指定一个的命令，例如 ipa help user-add。
  • 命令/配置摘录：
$ ipa help [TOPIC | COMMAND | topics | commands]

3.4. 使用 IPA 帮助主题

  • 要点：您可以使用 ipa help topics 来发现可用的插件，并查看针对用户、主机或证书等对象的特定命令示例。
  • 要点：流程
  • 列表：打开一个终端，接到 IdM 服务器。
  • 列表：要显示帮助涵盖的主题列表，请运行 ipa help topics 命令： $ ipa help topics
  • 列表：要查看特定类别的文档，请运行 ipa help <topic_name> 命令。将 <topic_name> 占位符替换为上一步中列出的类别。例如： $ ipa help user
  • 列表：可选：如果要逐屏查看较长的帮助输出，请将命令的输出通过管道传递给 less 实用程序： $ ipa help user | less 然后您可以向下滚动，并阅读全部帮助。 IPA CLI 显示 user 主题的帮助页。阅读完概述后，您可以看到许多使用主题命令的模式示例。
  • 命令/配置摘录：
$ ipa help topics
$ ipa help user

3.5. 使用 IPA help 命令

  • 要点：您可以使用 ipa help 命令列出身份管理(IdM)服务器支持的每个操作。您还可以显示特定命令所需的参数和可选参数。
  • 要点：流程
  • 列表：打开一个终端，接到 IdM 服务器。
  • 列表：要显示 help 涵盖的命令列表，请运行 ipa help commands: $ ipa help commands
  • 列表：要查看特定命令的文档，请运行 ipa help <command> 命令。将 <command> 占位符替换为上一步中列出的类别。例如： $ ipa help user-add
  • 命令/配置摘录：
$ ipa help commands
$ ipa help user-add

3.6. IPA 命令的结构

  • 要点：IPA CLI 使用一个可预测的结构，它将对象与特定操作相结合。您可以使用此模式在 IdM 的不同功能区域执行管理任务。
  • 要点：IPA CLI 区分以下命令类型：
  • 列表：内置命令 - IdM 服务器上可用的内置命令
  • 列表：插件提供的命令 - 是特定 IdM 模块提供的扩展命令
  • 列表：用户
  • 列表：主机
  • 列表：DNS 记录
  • 列表：证书

3.7. 使用 IPA 命令将用户帐户添加到 IdM

  • 要点：使用 IPA 命令行界面(CLI)在身份管理(IdM)数据库中创建新的用户条目。
  • 要点：先决条件
  • 列表：有管理员特权。
  • 列表：打开一个终端，接到 IdM 服务器。
  • 列表：要以交互方式添加用户，请运行 ipa user-add 命令： $ ipa user-add 该命令会提示您提供创建用户帐户所需的基本数据。
  • 列表：在 First name: 字段中，输入新用户的名字，然后按 Enter 键。
  • 列表：在 Last name: 字段中，输入新用户的姓氏，然后按 Enter 键。
  • 列表：在 User login [suggested user name]: 输入用户名，或者只按 Enter 接受建议的用户名。 整个 IdM 数据库的用户名必须是唯一的。如果因为用户名已存在而发生错误，使用 ipa user-add 命令重复该过程，并使用不同的、唯一的用户名。 添加用户名后，用户帐户被添加到 IdM 数据库中，IPA 命令行界面(CLI)会打印以下输出： ---------------------- Added user "euser" ---------------------- User login: euser First name: Example Last name: User Full name: Ex…
  • 命令/配置摘录：
$ ipa user-add
---------------------- Added user "euser" ---------------------- User login: euser First name: Example Last name: User Full name: Example User Display name: Example User Initials: EU Home directory: /home/euser GECOS: Example User Login shell: /bin/sh Principal name: euser@IDM.EXAMPLE.COM Principal alias: euser@IDM.EXAMPLE.COM Email address: euser@idm.example.com UID: 427200006 GID: 427200006 Password: False Member of groups: ipausers Kerberos keys available: False
  • 注意：注意 默认情况下，该账户没有密码。要在创建用户帐户时添加密码，请使用带有以下语法的 ipa user-add 命令： $ ipa user-add --first=<user_name> --last=<user_surname> --password 然后 IPA CLI 会提示您添加或确认用户名和密码。 如果已创建了该用户，您可以使用 ipa user-mod 命令添加密码。

3.8. 使用 IPA 命令修改 IdM 中的用户帐户

  • 要点：使用命令行界面更新身份管理(IdM)数据库中的现有用户属性和安全设置。您可以使用 ipa user-mod 命令修改参数，如联系信息、登录 shell 或任何现有用户帐户的密码。
  • 要点：先决条件
  • 列表：有管理员特权。
  • 列表：打开一个终端，接到 IdM 服务器。
  • 列表：要更新用户帐户，请运行 ipa user-mod <user_login> 命令，并包含您要更改的属性的选项。将 <user_login> 占位符替换为用户的登录名称： $ ipa user-mod <user_login> --password
  • 列表：如果您使用了 --password 选项，请在提示符下提供新密码，然后按 Enter 键。 IPA CLI 打印以下输出：例如： ---------------------- Modified user "euser" ---------------------- User login: euser First name: Example Last name: User Home directory: /home/euser Principal name: euser@IDM.EXAMPLE.COM Principal alias: euser@IDM.EXAMPLE.COM Email address: euser@idm.ex…
  • 命令/配置摘录：
$ ipa user-mod <user_login> --password
---------------------- Modified user "euser" ---------------------- User login: euser First name: Example Last name: User Home directory: /home/euser Principal name: euser@IDM.EXAMPLE.COM Principal alias: euser@IDM.EXAMPLE.COM Email address: euser@idm.example.com UID: 427200006 GID: 427200006 Password: True Member of groups: ipausers Kerberos keys available: True

3.9. IdM 中的多值属性

  • 要点：当您使用多值属性管理身份管理(IdM)对象时，您必须在更新过程中提供完整的值列表，以防止意外的数据丢失。
  • 要点：IdM 支持以下提供多值列表的方法：
  • 列表：在同一命令调用中多次使用相同的命令行参数： $ ipa permission-add --right=read --permissions=write --permissions=delete <object_name>
  • 列表：或者，您可以将列表用大括号括起来。shell 在执行前将这些扩展为单独的参数： $ ipa permission-add --right={read,write,delete} <object_name>
  • 列表：ipa permission-mod 命令更新所有之前添加的权限： $ ipa permission-mod --right=read --right=write --right=delete <object_name> 或者 $ ipa permission-mod --right={read,write,delete} <object_name>
  • 列表：ipa permission-mod 命令删除 --right=delete 参数，因为它没有包含在命令中： $ ipa permission-mod --right=read --right=write <object_name> 或者 $ ipa permission-mod --right={read,write} <object_name>
  • 命令/配置摘录：
$ ipa permission-add --right=read --permissions=write --permissions=delete <object_name>
$ ipa permission-add --right={read,write,delete} <object_name>

3.10. IdM CLI 中的特殊字符

  • 要点：正确处理 shell 敏感字符，以确保按预期处理命令行参数。您可以使用反斜杠()转义字符来防止 shell 在身份管理(IdM)命令中错误地解译特殊符号。
  • 要点：例如，要转义星号(*)：
  • 命令/配置摘录：
$ ipa certprofile-show certificate_profile --out=exported\*profile.cfg

3.11. 在 IdM CLI 中指定服务器

  • 要点：--force-server 全局选项将 ipa 工具定向到特定的身份管理(IdM)服务器，绕过自动服务器发现。
  • 要点：默认情况下，ipa 工具会发现并自动连接到可用的 IdM 服务器。
  • 命令/配置摘录：
$ ipa --force-server server.idm.example.com <subcommand> [<options>]
  • 注意：注意 如果指定的服务器不可用，则命令会失败，而不回退到其他服务器。

第 4 章 从命令行搜索身份管理条目

  • 要点：使用搜索过滤器和显示命令查找并查看身份管理(IdM)条目。

4.1. 列出 IdM 条目的概述

  • 要点：使用搜索过滤器和关键字识别身份管理(IdM)数据库中的特定条目。您可以使用 ipa *-find 命令检索对象列表，并根据用户成员资格或属性匹配过滤结果。
  • 要点：有用的搜索命令
  • 列表：要列出所有 find 命令，请使用带有 ipa help 命令的 grep 工具： $ ipa help commands | grep find
  • 列表：要列出 IdM 数据库中的所有用户，请使用以下命令： $ ipa user-find
  • 列表：要列出其指定属性包含关键字的用户组，请运行： $ ipa group-find <keyword> 例如，ipa group-find admin 命令列出其名称或描述包含字符串 admin 的所有组： ---------------- 3 groups matched ---------------- Group name: admins Description: Account administrators group GID: 427200002 Group name: editors Description: Limited admins who can edit other users GID: 427200…
  • 列表：搜索包含特定用户的组： $ ipa group-find --user=<user_name>
  • 列表：搜索不包含特定用户的组： $ ipa group-find --no-user=<user_name>
  • 命令/配置摘录：
$ ipa help commands | grep find
$ ipa user-find

4.2. 显示特定条目的详情

  • 要点：检索特定身份管理(IdM)条目的完整技术配置和属性列表。您可以使用 ipa <object>-show 命令显示单个对象的详细信息，如主机、用户或服务，而不是显示经过筛选的多个结果列表。
  • 要点：步骤
  • 列表：要显示特定条目的详情，请运行 ipa <object>-show 命令，并在命令后指定条目名称。例如： $ ipa host-show server.example.com CLI 显示指定对象的完整记录： Host name: server.example.com Principal name: host/server.example.com@EXAMPLE.COM ...
  • 命令/配置摘录：
$ ipa host-show server.example.com
Host name: server.example.com Principal name: host/server.example.com@EXAMPLE.COM ...

4.3. 修改 IPA 命令选项的 LDAP 属性值

  • 要点：您可以使用 --addattr 和 --delattr 选项为身份管理(IdM)命令选项添加或删除 LDAP 属性的值。不同于直接传入完整的选项值，这些选项只修改指定的值，而不覆盖剩余的现有值。
  • 要点：步骤
  • 列表：使用 ipa show-mappings 命令和 IPA 命令名称来显示 LDAP 属性映射： $ ipa show-mappings <command> 例如，列出 config-mod 命令的 LDAP 属性映射： $ ipa show-mappings config-mod ----------------------------- Number of entries returned 77 ----------------------------- ca_renewal_master_server: caRenewalMaster enable_migration: ipaMigrationEnabled ... …
  • 列表：可选：如果输出包含太多条目，可以使用管道将命令输出传递给 grep，以过滤您需要的选项： $ ipa show-mappings <command> | grep <option> 例如： $ ipa show-mappings config-mod | grep userobjectclasses userobjectclasses: ipauserobjectclasses *
  • 列表：请注意 LDAP 属性名称后的符号，该符号表示该属性是否为必需属性，以及它可以包含多少个值： Expand 符号 含义 （无） 必需，单值 + 必需，多值 ? 可选，单值 * 可选，多值 Show more 例如，ipauserobjectclasses * 表示属性是可选的，并且支持多个值。
  • 列表：使用 LDAP 属性名称添加或删除值： 要添加新值，请使用 --addattr <attribute>=<value>。例如，要将 mailRecipient 对象类添加到用户对象类列表中： $ ipa config-mod --addattr ipauserobjectclasses=mailRecipient 要删除现有值，请使用--delattr <attribute>=<value>。例如，要从用户对象类列表中删除 mailRecipient 对象类： $ ipa config-mod --delattr ipauserobjectclasses=mailRecipient 注意 在本例中，mailRecipient 是一…
  • 列表：要添加新值，请使用 --addattr <attribute>=<value>。例如，要将 mailRecipient 对象类添加到用户对象类列表中： $ ipa config-mod --addattr ipauserobjectclasses=mailRecipient
  • 列表：要删除现有值，请使用--delattr <attribute>=<value>。例如，要从用户对象类列表中删除 mailRecipient 对象类： $ ipa config-mod --delattr ipauserobjectclasses=mailRecipient 注意 在本例中，mailRecipient 是一个对象类名称。LDAP 属性 ipauserobjectclasses 存储对象类名称列表，因此您用 --addattr 或 --delattr 添加或删除的值是对象类名称，而不是 LDAP 属性。
  • 命令/配置摘录：
$ ipa show-mappings <command>
$ ipa show-mappings config-mod ----------------------------- Number of entries returned 77 -----------------------------  ca_renewal_master_server: caRenewalMaster  enable_migration: ipaMigrationEnabled  ...  userobjectclasses: ipauserobjectclasses *  ...
  • 注意：注意 在本例中，mailRecipient 是一个对象类名称。LDAP 属性 ipauserobjectclasses 存储对象类名称列表，因此您用 --addattr 或 --delattr 添加或删除的值是对象类名称，而不是 LDAP 属性。
  • 表格样本（共 5 行）：
    • 符号 | 含义
    • （无） | 必需，单值
      • | 必需，多值
    • ? | 可选，单值

4.4. 调整搜索大小和时间限制

  • 要点：有些查询（比如请求 IdM 用户列表）可能会返回大量条目。通过调优这些搜索操作，您可以在运行 ipa *-find 命令时提高服务器的总体性能，例如 ipa user-find，并在 Web UI 中显示相应的列表。
  • 要点：定义从客户端 CLI 发送发送到服务器的请求或从访问 IdM Web UI 的浏览器返回的最大条目数。
  • 注意：重要 如果设置的搜索大小或时间限制太大，则可能会对服务器性能造成负面影响。

4.4.1. 在命令行中调整搜索大小和时间限制

  • 要点：您可以在全局范围内或为特定条目调整搜索大小和时间限制，以优化搜索性能和响应速度。
  • 要点：步骤
  • 列表：要在 CLI 中显示当前搜索时间和大小限制，请使用 ipa config-show 命令： $ ipa config-show Search time limit: 2 Search size limit: 100
  • 列表：要在全局范围内调整对所有查询的限制，运行 ipa config-mod 命令并使用 --searchrecordslimit 和 --searchtimelimit 选项。例如： $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5
  • 列表：要为一个特定查询临时调整限制，请在命令中添加 --sizelimit 或 --timelimit 选项。例如： $ ipa user-find --sizelimit=200 --timelimit=120
  • 命令/配置摘录：
$ ipa config-show Search time limit: 2 Search size limit: 100
$ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

4.4.2. 在 Web UI 中调整搜索大小和时间限制

  • 要点：您可以使用 IdM Web UI 调整全局搜索大小和时间限制，以优化搜索性能和响应速度。
  • 要点：步骤
  • 列表：登录到 IdM Web UI。
  • 列表：点 IPA Server。
  • 列表：在 IPA Server 选项卡中点 Configuration。
  • 列表：在搜索选项区域中设置所需的值。 默认值为： 搜索大小限制： 100 个条目 搜索时间限值： 2 秒
  • 列表：搜索大小限制： 100 个条目
  • 列表：搜索时间限值： 2 秒

第 5 章 在 web 浏览器中访问 IdM Web UI

  • 要点：通过访问 IdM Web UI 以图形界面方式管理身份管理(IdM)。作为命令行界面的替代选择，您可以使用受支持的 Web 浏览器来执行管理任务、配置用户帐户和管理安全设置。
  • 要点：您可以以以下方式访问 IdM Web UI：

5.1. 先决条件

  • 列表：受支持的 Web 浏览器(Mozilla Firefox 38 及更高版本，或 Google Chrome 46 及更高版本)。
  • 列表：IdM 服务器的 DNS 名称或 IP 地址。

5.2. 为智能卡验证配置 Web 浏览器

  • 要点：在浏览器中打开 Post-Handshake Authentication (PHA)来使用智能卡访问身份管理(IdM) Web UI。
  • 要点：步骤
  • 列表：如果您在使用智能卡访问 IdM Web UI 时遇到问题，请检查日志以查看浏览器是否尝试使用 TLS v1.3。输出可能类似如下： [ssl:error] [pid 125757:tid 140436077168384] [client 999.999.999.999:99999] AH: verify client post handshake [ssl:error] [pid 125757:tid 140436077168384] [client 999.999.999.999:99999] AH10158: cannot perform post-handshake authentication [ssl:error] [p…
  • 列表：配置您的特定浏览器以解决冲突： 对于 Mozilla Firefox 68 及更新的版本，启用 TLS PHA： 在地址栏中输入 about:config 以访问 Mozilla Firefox 首选项菜单。 在搜索栏中输入 security.tls.enable_post_handshake_auth。 点击切换按钮将参数设为 true。 对于当前不支持 PHA 的 Chrome 浏览器，请禁用 TLS 1.3： 打开 /etc/httpd/conf.d/ssl.conf 配置文件。 将 -TLSv1.3 添加到 SSLProtocol 选项中： SSLProtocol all -TLSv1 -TLSv1.1 -TLSv1.3
  • 列表：对于 Mozilla Firefox 68 及更新的版本，启用 TLS PHA： 在地址栏中输入 about:config 以访问 Mozilla Firefox 首选项菜单。 在搜索栏中输入 security.tls.enable_post_handshake_auth。 点击切换按钮将参数设为 true。
  • 列表：在地址栏中输入 about:config 以访问 Mozilla Firefox 首选项菜单。
  • 列表：在搜索栏中输入 security.tls.enable_post_handshake_auth。
  • 列表：点击切换按钮将参数设为 true。
  • 命令/配置摘录：
[ssl:error] [pid 125757:tid 140436077168384] [client 999.999.999.999:99999] AH: verify client post handshake [ssl:error] [pid 125757:tid 140436077168384] [client 999.999.999.999:99999] AH10158: cannot perform post-handshake authentication [ssl:error] [pid 125757:tid 140436077168384] SSL Library Error: error:14268117:SSL routines:SSL_verify_client_post_handshake:extension not received
SSLProtocol all -TLSv1 -TLSv1.1 -TLSv1.3

5.3. 访问 Web UI

  • 要点：第一次登录到身份管理(IdM) Web UI，以开始管理配置。
  • 要点：第一次登录后，您可以将 IdM 服务器配置为使用以下方式进行身份验证：
  • 列表：Kerberos 票据 详情请查看 身份管理中的 Kerberos 验证。
  • 列表：智能卡 详情请参阅 为智能卡身份验证配置 IdM 服务器。
  • 列表：一次性密码(OTP) - 可将其与密码和 Kerberos 身份验证结合使用。 详情请参阅 身份管理中的一次性密码(OTP)身份验证。
  • 列表：在浏览器地址栏中输入 IdM 服务器 URL。名称类似以下示例： https://server.example.com 您只需要将 server.example.com 更改为您 IdM 服务器的 DNS 名称。 这会在您的浏览器中打开 IdM Web UI 登录屏幕。 如果服务器没有响应或者登录屏幕没有打开，请检查您要连接的 IdM 服务器上的 DNS 设置。 如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。 为避免安全异常，请安装由证书颁发机构签名的证书。
  • 列表：如果服务器没有响应或者登录屏幕没有打开，请检查您要连接的 IdM 服务器上的 DNS 设置。
  • 列表：如果您使用自签名证书，浏览器会发出警告。检查证书并接受安全例外以进行登录。 为避免安全异常，请安装由证书颁发机构签名的证书。
  • 命令/配置摘录：
https://server.example.com

第 6 章 在 Web UI 中登录到 IdM: 使用 Kerberos 票据

  • 要点：使用本地系统的有效 Kerberos 票据自动向身份管理(IdM) Web UI 进行身份验证。您可以使用单点登录(SSO)方法访问图形界面，而无需在浏览器中输入密码。

6.1. 身份管理中的 Kerberos 身份验证

  • 要点：身份管理(IdM)使用 Kerberos 协议来支持单点登录(SSO)。您可以使用 SSO 只需输入一次用户名和密码，即可获取票据。
  • 要点：如果正确配置了 DNS 和证书设置，IdM 服务器会在安装后立即提供 Kerberos 身份验证。
  • 列表：IdM 客户端
  • 列表：krb5conf 软件包
  • 列表：为 IdM 客户端安装准备系统

6.2. 使用 kinit 手动登录到 IdM

  • 要点：使用 kinit 工具手动向身份管理(IdM)环境进行身份验证。如果您的初始票据已过期或被销毁，您可以使用这个实用程序获取并缓存 Kerberos 票据授予票据(TGT)。
  • 要点：作为 IdM 用户，当登录到本地机器时，您也会自动登录到 IdM。这意味着登录后，您不需要使用 kinit 工具来访问 IdM 资源。
  • 列表：要使用当前本地用户身份进行身份验证，请直接运行 kinit，无需指定用户名。例如，如果您以本地系统上的 <example_user> 身份登录： [example_user@server ~]$ kinit Password for example_user@EXAMPLE.COM: [example_user@server ~]$ 如果本地用户的用户名与 IdM 中的任何用户条目都不匹配，则身份验证尝试失败： [example_user@server ~]$ kinit kinit: Client 'example_user@EXAMPLE.COM' not found in Kerberos database while ge…
  • 列表：要使用其他 IdM 主体进行身份验证，请使用 kinit 命令指定用户名。例如，要以 admin 用户身份登录： [example_user@server ~]$ kinit admin Password for admin@EXAMPLE.COM: [example_user@server ~]$ 注意 使用 kinit -kt KDB 请求用户票据：user@EXAMPLE.COM 被禁用。如需更多信息，请参阅 为什么 kinit -kt KDB: user@EXAMPLE.COM 在 CVE-2024-3183 后不再正常工作 解决方案。
  • 列表：要验证登录是否成功，请使用 klist 工具显示缓存的 TGT。在以下示例中，缓存包含 <example_user>主体的票据，这意味着在这个特定主机上，目前只 <example_user> 允许访问 IdM 服务： $ klist Ticket cache: KEYRING:persistent:0:0 Default principal: example_user@EXAMPLE.COM Valid starting Expires Service principal 11/10/2019 08:35:45 11/10/2019 18:35:45 krbtgt/EXAMPLE.COM@EXAMPLE.COM
  • 命令/配置摘录：
[example_user@server ~]$ kinit
Password for example_user@EXAMPLE.COM: [example_user@server ~]$
  • 注意：注意 使用 kinit -kt KDB 请求用户票据：user@EXAMPLE.COM 被禁用。如需更多信息，请参阅 为什么 kinit -kt KDB: user@EXAMPLE.COM 在 CVE-2024-3183 后不再正常工作 解决方案。

6.3. 为 Kerberos 身份验证配置浏览器

  • 要点：为您的 Web 浏览器配置 Kerberos 身份验证，将本地 Kerberos 票据传递给身份管理(IdM) Web UI，以进行自动单点登录(SSO)访问。
  • 要点：每个浏览器以不同的方式支持 Kerberos ，需要不同的配置。IdM Web UI 包含对以下浏览器的指南：
  • 列表：Firefox
  • 列表：Chrome
  • 列表：在 Web 浏览器中打开 IdM Web UI 登录对话框。
  • 列表：在 Web UI 登录屏幕上，单击浏览器配置的链接。
  • 列表：按照配置页面中的步骤进行操作。 在设置后，返回到 IdM Web UI，并单击 Log in。

6.4. 使用 Kerberos 票据登录到 Web UI

  • 要点：使用 Kerberos 票据授予票据(TGT)自动访问身份管理(IdM) Web UI。TGT 在预定义的时间间隔中保持有效，默认为 24 小时。您可以在 IdM Web UI 配置设置中修改此时间间隔。
  • 要点：时间间隔过期后，您需要续订票据：
  • 列表：使用 kinit 命令。
  • 列表：在 Web UI 登录对话框中使用 IdM 登录凭据。
  • 列表：打开 IdM Web UI。 如果 Kerberos 身份验证正常工作，并且您有有效的票据，您可以自动完成身份验证并打开 Web UI。 如果票据已过期，您必须先输入凭据进行身份验证。但是，下次 IdM Web UI 将自动打开，而不会打开登录对话框。 如果您看到错误消息 Authentication with Kerberos failed，请验证您的浏览器是否已针对 Kerberos 身份验证进行了配置。请参阅 为 Kerberos 身份验证配置浏览器。

6.5. 为 Kerberos 身份验证配置外部系统

  • 要点：通过定义特定于 IdM 的 Kerberos 配置文件并设置 KRB5_CONFIG 环境变量，为 Kerberos 身份验证配置系统。
  • 要点：当您的基础架构包含多个域或重叠域时，在外部系统上启用 Kerberos 身份验证非常有用。如果系统尚未通过 ipa-client-install 注册到任何 IdM 域，它也很有用。
  • 列表：krb5-workstation 软件包已安装在外部系统上。要验证安装，请使用以下 CLI 命令： # dnf list installed krb5-workstation Installed Packages krb5-workstation.x86_64 1.16.1-19.el8 @BaseOS
  • 列表：将 /etc/krb5.conf 文件从 IdM 服务器复制到外部系统。例如： # scp /etc/krb5.conf root@externalsystem.example.com:/etc/krb5_ipa.conf 警告 不要覆盖外部系统上现有的 krb5.conf 文件。
  • 列表：在外部系统上，将终端会话设置为使用复制的 IdM Kerberos 配置文件： $ export KRB5_CONFIG=/etc/krb5_ipa.conf KRB5_CONFIG 变量仅在退出之前暂时存在。要防止其丢失，请使用其他文件名导出变量。
  • 列表：将 Kerberos 配置代码段从 /etc/krb5.conf.d/ 目录复制到外部系统。
  • 列表：在外部系统上配置浏览器，如 为 Kerberos 身份验证配置浏览器 中所述。 外部系统上的用户现在可以使用 kinit 工具对 IdM 服务器进行身份验证。
  • 命令/配置摘录：
# dnf list installed krb5-workstation
Installed Packages krb5-workstation.x86_64 1.16.1-19.el8 @BaseOS
  • 注意：警告 不要覆盖外部系统上现有的 krb5.conf 文件。

6.6. 为活动目录用户启用 Web UI 登录

  • 要点：配置身份管理(IdM) Web UI，通过跨林信任验证活动目录(AD)用户凭证，以维护单一身份来源。
  • 要点：要为活动目录用户启用 Web UI 登录，请在 Default Trust View 中为每个活动目录用户定义一个 ID 覆盖。
  • 列表：为 ad_user@ad.example.com 定义一个 ID 覆盖： [admin@server ~]$ ipa idoverrideuser-add 'Default Trust View' ad_user@ad.example.com
  • 列表：为活动目录用户使用 ID 视图
  • 命令/配置摘录：
[admin@server ~]$ ipa idoverrideuser-add 'Default Trust View' ad_user@ad.example.com

第 7 章 使用一次性密码登录到身份管理 Web UI

  • 要点：通过使用一次性密码（OTP）登录身份管理（IdM）Web UI，以提供额外的安全层。您可以使用这种多因素身份验证方法，将常规密码与硬件或软件令牌生成的唯一代码结合起来进行身份验证。

7.1. 先决条件

  • 要点：其他资源
  • 列表：在 Web 浏览器中访问 IdM Web UI。
  • 列表：在 web 浏览器中访问 IdM Web UI

7.2. 身份管理中的一次性密码(OTP)身份验证

  • 要点：身份管理(IdM)通过将标准密码与自动生成的一次性密码(OTP)相结合来提供多因素身份验证。您可以使用 OTP 方法，通过增加一层额外的安全防护来保护用户帐户和 LDAP 客户端。
  • 要点：要生成一次性密码，您可以使用硬件或软件令牌。IdM 同时支持软件和硬件令牌。
  • 列表：基于 HMAC 的一次性密码(HOTP)算法是基于计数器的。HMAC 代表哈希消息身份验证代码。
  • 列表：基于时间的一次性密码(TOTP)算法是 HOTP 的扩展，来支持基于时间的移动因子。
  • 注意：重要 IdM 不支持活动目录信任用户的 OTP 登录。
  • 注意：警告 目前，IdM 中的 OTP 支持存在以下安全性及其他方面的限制： 最重要的安全限制是整个系统中可能存在重放攻击漏洞。复制过程是异步的，因此在复制期间，OTP 代码可能会被重复使用。用户可以同时登录两台服务器。但是，由于采用了全面的加密机制，这种漏洞通常很难被利用。 无法使用不支持 OTP 身份验证的客户端获取票据授予票(TGT)。这可能会影响某些用例，如使用 mod_auth_kerb 模块或通用安全服务 API (GSSAPI)的身份验证。

7.2.1. 可用的 OTP 身份验证方法

  • 要点：在启用 OTP 身份验证时，您可以从以下验证方法中选择：
  • 要点：您可以在全局范围内或个人用户配置这些身份验证方法：
  • 列表：默认情况下，特定于用户的身份验证方法设置优先于全局设置。如果没有为用户设置验证方法，则应用全局定义的方法。
  • 列表：您可以为任何用户禁用按用户配置的身份验证方法设置。这可以确保 IdM 忽略用户级设置，并始终为用户应用全局设置。
  • 列表：如果您同时配置双因素和密码身份验证，在使用命令行时用户必须提供密码（第一个因素），但提供 OTP （第二个因素）是可选的。 First Factor: Second Factor (optional):
  • 列表：而在 Web UI 中，用户必须仍然提供这两个因素。
  • 列表：Kerberos 始终使用 RADIUS，而 LDAP 不使用。LDAP 仅支持密码身份验证和双因素身份验证方法。
  • 列表：如果您使用外部双因素身份验证供应商，请从应用程序中使用 Kerberos。如果您只想让用户使用密码进行身份验证，请使用 LDAP。建议应用程序使用 Apache 模块和 SSSD，这允许配置 Kerberos 或 LDAP。
  • 命令/配置摘录：
First Factor: Second Factor (optional):

7.2.2. GNOME Keyring 服务支持

  • 要点：IdM 将 OTP 身份验证与 GNOME Keyring 服务集成。请注意，GNOME Keyring 集成要求用户分别输入第一个和第二个身份验证因素：
  • 命令/配置摘录：
First factor: static_password Second factor: one-time_password

7.2.3. 使用 OTP 进行离线身份验证

  • 要点：IdM 支持离线 OTP 身份验证。但是，要能够离线登录，用户必须先在系统处于在线状态时进行身份验证，并分别输入静态密码和一次性密码（OTP）：
  • 要点：如果用户在在线登录时单独输入了这两个密码，则即使中央身份验证服务器不可用，用户也可以进行身份验证。请注意，当用户验证离线时，IdM 只提示输入第一个因素的传统静态密码。
  • 列表：/etc/sssd/sssd.conf 文件中的 cache_credentials 选项被设置为 True，这会启用缓存第一个因素密码。
  • 列表：第一个因素静态密码满足在 /etc/sssd/sssd.conf 中设置的 cache_credentials_minimal_first_factor_length 选项中定义的密码长度要求。默认最小长度为 8 个字符。有关这个选项的详情，请查看 sssd.conf (5) 手册页。
  • 列表：在 IdM 中为 OTP 验证配置 RADIUS 服务器
  • 命令/配置摘录：
First factor: static_password Second factor: one-time_password
  • 注意：重要 如果您在还离线运行的设备中使用 OTP 身份验证，如笔记本电脑，红帽建议单独输入静态密码和 OTP，以确保离线身份验证可用。否则，IdM 不允许在系统离线后登录。
  • 注意：注意 即使 /etc/sssd/sssd.conf 文件中的 krb5_store_password_if_offline 选项被设置为 true，当系统返回到在线状态时，SSSD 不会尝试刷新 Kerberos 票据授予票据(TGT)。这是因为，一次性密码(OTP)此时可能已经无效。在这种情况下，要获得新的 TGT，用户必须使用这两个因素重新进行身份验证。

7.3. 在 Web UI 中启用一次性密码

  • 要点：身份管理(IdM)管理员可以为 IdM 用户全局或单独启用双因素身份验证(2FA)。
  • 要点：启用 2FA 与强制使用它不同。如果您使用基于 LDAP-binds 的登录，IdM 用户仍可以通过只输入密码来进行身份验证。但是，如果您使用基于 krb5 的登录，则强制使用 2FA。
  • 列表：管理员特权
  • 列表：使用 IdM admin 特权登录到 IdM Web UI。
  • 列表：打开 Identity → Users → Active users 选项卡。
  • 列表：选择 example.user 来打开用户设置。
  • 列表：在 User authentication types 中，选择 Two factor authentication (password + OTP) 。
  • 列表：点击 Save。 此时，为 IdM 用户启用了 OTP 身份验证。 现在，您或 example.user 必须向 example.user 帐户分配一个新的令牌 ID。

7.4. 在 IdM 中为 OTP 验证配置 RADIUS 服务器

  • 要点：在身份管理(IdM)中配置 RADIUS 代理，将一次性密码(OTP)验证卸载到外部第三方服务器。您可以使用此配置将大型部署中特定用户的身份验证从专有 OTP 解决方案迁移到 IdM 原生身份验证。
  • 要点：虽然每个代理都引用单个 RADIUS 服务器，但您可以将此设置与虚拟 IP 解决方案相结合，使多个 RADIUS 服务器共同提供服务，从而实现高可用性。将 RADIUS 代理设置分配给用户可确保 IdM 优先选择外部提供者并绕过其他身份验证机制。例如，此类解决方案必须在 keepalived 守护进程的帮助下，在 RHEL IdM 外部构建。然后，管理员将这些代理集中的一个分配给用户。只要用户分配了 RADIUS 代理集，IdM 就会绕过所有其他身份验证机制。
  • 列表：radius 用户验证方法已启用。详情请参阅 在 Web UI 中启用一次性密码。
  • 列表：添加一个 RADIUS 代理： $ ipa radiusproxy-add proxy_name --secret secret 命令提示您输入所需的信息。 RADIUS 代理的配置需要使用客户端和服务器之间的通用 secret 来包装凭证。在 --secret 参数中指定此 secret。
  • 列表：将用户分配给添加的代理： $ ipa user-mod radiususer --radius=proxy_name
  • 列表：如果需要，配置要发送到 RADIUS 的用户名： $ ipa user-mod radiususer --radius-username=radius_user 因此，RADIUS 代理服务器开始处理用户 OTP 身份验证。 当用户准备好迁移到 IdM 原生 OTP 系统时，您可以简单地删除分配给用户的 RADIUS 代理。 注意 在某些情况下，比如在较慢的网络中运行 RADIUS 代理，身份管理(IdM) Kerberos 分发中心(KDC)会在 RADIUS 服务器响应前关闭连接，因为在等待用户输入令牌时连接超时。您可以更改 KDC 的超时设置。
  • 列表：更改 /var/kerberos/krb5kdc/kdc.conf 文件中 [otp] 部分中 timeout 参数的值。例如，要将超时设置为 120 秒： [otp] DEFAULT = { timeout = 120 ... }
  • 列表：重启 krb5kdc 服务： # systemctl restart krb5kdc
  • 命令/配置摘录：
$ ipa radiusproxy-add proxy_name --secret secret
$ ipa user-mod radiususer --radius=proxy_name
  • 注意：注意 IdM 不为第三方系统中的令牌提供任何令牌管理或同步支持。
  • 注意：注意 在某些情况下，比如在较慢的网络中运行 RADIUS 代理，身份管理(IdM) Kerberos 分发中心(KDC)会在 RADIUS 服务器响应前关闭连接，因为在等待用户输入令牌时连接超时。您可以更改 KDC 的超时设置。

7.5. 在 Web UI 中添加 OTP 令牌

  • 要点：在身份管理(IdM) Web UI 中创建和管理软件或硬件令牌，以提供一次性密码(OTP)。您可以使用此配置生成与移动应用程序或物理设备同步的唯一身份验证代码。
  • 要点：先决条件
  • 列表：IdM 服务器上的活跃用户帐户。
  • 列表：管理员已在 IdM Web UI 中为特定用户帐户启用了 OTP。
  • 列表：生成 OTP 令牌的软件设备，如 FreeOTP。
  • 列表：使用您的用户名和密码登录到 IdM Web UI。
  • 列表：要在您的手机中创建令牌，请打开 Authentication → OTP Tokens 选项卡。
  • 列表：点击 Add。

7.6. 使用一次性密码登录到 Web UI

  • 要点：使用标准密码和一次性密码(OTP)的组合对身份管理（IdM）Web UI 进行身份验证。
  • 要点：先决条件
  • 列表：在身份管理服务器上为您用于 OTP 身份验证的用户帐户启用 OTP 配置。管理员和用户本身也可以启用 OTP。 要启用 OTP 配置，请参阅 在 Web UI 中启用一次性密码。
  • 列表：生成 OTP 令牌的硬件或软件设备已配置。
  • 列表：在身份管理登录屏幕中，输入您的用户名或 IdM 服务器管理员帐户的用户名。
  • 列表：为上面输入的用户名添加密码。
  • 列表：在您的设备上生成一次性密码。
  • 列表：在密码后输入一次性密码，没有空格。

7.7. 使用 Web UI 同步 OTP 令牌

  • 要点：在身份管理(IdM) Web UI 中同步您的一次性密码(OTP)令牌。如果使用 OTP 登录（一次性密码）失败，OTP 令牌不会被正确同步。
  • 要点：先决条件
  • 列表：生成 OTP 令牌的设备。
  • 列表：在 IdM Web UI 登录屏幕上，单击 Sync OTP Token。
  • 列表：在登录屏幕中，输入您的用户名和身份管理密码。
  • 列表：生成一次性密码，并将它输入到 First OTP 字段中。
  • 列表：再生成一次性密码，并将它输入到 Second OTP 字段中。
  • 列表：可选：输入令牌 ID。

7.8. 更改过期的密码

  • 要点：更新已过期的身份管理(IdM)密码，以重新获得对 Web UI 和其他服务的访问权限。使用密码重置提示提供您当前的凭据，并设置新的安全密码。
  • 要点：身份管理(IdM)管理员可以强制在下次登录时更改密码。在这种情况下，您必须按照终端上的提示创建一个新密码。
  • 列表：IdM 服务器上的活跃帐户。
  • 列表：在密码过期登录屏幕中，输入用户名。
  • 列表：为上面输入的用户名添加密码。
  • 列表：在 OTP 字段中，如果使用一次性密码身份验证，请生成一次性密码。
  • 列表：输入两次新密码进行验证。
  • 列表：单击 Reset Password。 成功更改密码后，会显示常见的登录对话框。使用新密码登录。

7.9. 以 OTP 或 RADIUS 用户身份检索 IdM 票据授予票据

  • 要点：要以 OTP 用户身份检索 Kerberos 票据授予票据(TGT)，请请求一个匿名 Kerberos 票据，并通过 Secure Tunneling (FAST)通道启用 Flexible Authentication，以便在 Kerberos 客户端和 Kerberos 分发中心(KDC)之间提供一个安全连接。
  • 要点：先决条件
  • 列表：您已为所需用户帐户启用了 OTP。
  • 列表：运行以下命令来初始化凭证缓存： [root@client ~]# kinit -n @IDM.EXAMPLE.COM -c FILE:armor.ccache 请注意，这个命令会创建 armor.ccache 文件，每当您请求新的 Kerberos 票据时，您都需要指向该文件。
  • 列表：运行以下命令来请求一个 Kerberos 票据： [root@client ~]# kinit -T FILE:armor.ccache <username>@IDM.EXAMPLE.COM Enter your OTP Token Value.
  • 列表：显示您的 Kerberos 票据信息： [root@client ~]# klist -C Ticket cache: KCM:0:58420 Default principal: <username>@IDM.EXAMPLE.COM Valid starting Expires Service principal 05/09/22 07:48:23 05/10/22 07:03:07 krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM config: fast_avail(krbtgt/IDM.EXAMPLE.COM@IDM.EXAMPLE.COM) = yes 08/17/2022 20:22:45 …
  • 命令/配置摘录：
[root@client ~]# kinit -n @IDM.EXAMPLE.COM -c FILE:armor.ccache
[root@client ~]# kinit -T FILE:armor.ccache <username>@IDM.EXAMPLE.COM

7.10. 为所有 LDAP 客户端强制使用 OTP

  • 要点：在身份管理(IdM)中，您可以对所有 LDAP 客户端强制使用一次性密码(OTP)，以防止配置了 OTP 令牌的用户进行单因素身份验证。
  • 要点：流程
  • 列表：要为所有 LDAP 客户端强制使用 OTP ，请使用以下命令： $ ipa config-mod --addattr ipaconfigstring=EnforceLDAPOTP
  • 列表：要对所有 LDAP 客户端更改回以前的 OTP 行为，请使用以下命令： $ ipa config-mod --delattr ipaconfigstring=EnforceLDAPOTP
  • 命令/配置摘录：
$ ipa config-mod --addattr ipaconfigstring=EnforceLDAPOTP
$ ipa config-mod --delattr ipaconfigstring=EnforceLDAPOTP

第 8 章 保护 LDAP 访问

  • 要点：控制客户端如何连接到身份管理(IdM)目录并管理匿名访问权限。

8.1. Identity Management 默认访问策略

  • 要点：身份管理(IdM)通过遵循 RHEL 系统范围的加密策略来应用默认安全设置。您可以使用此策略来确保所有 IdM 组件自动满足当前安全标准，从而无需进行手动安全加固。
  • 要点：如需更多信息，请参阅系统中的 crypto-policies (7) 手册页。
  • 注意：重要 红帽建议您使用系统范围的加密策略。更改单个安全设置可能会破坏 IdM 的组件。

8.2. Identity Management 中的匿名 LDAP 绑定

  • 要点：匿名绑定是传统实用程序（如 realmd ）在注册客户端时需要进行域发现的未经身份验证的 LDAP 连接。但是，匿名绑定可以公开 Identity Management (IdM)配置设置或目录值。
  • 要点：您可以通过修改 IdM 389 Directory Server 实例上的 nsslapd-allow-anonymous-access 属性来控制目录的可见性。
  • 列表：on: 允许所有匿名绑定（默认）
  • 列表：rootdse ： 仅允许匿名绑定进行 DSE 信息
  • 列表：off ： 不允许任何匿名绑定

8.3. 禁用匿名绑定

  • 要点：您可以限制匿名访问，以确保只有服务器配置可发现，同时保护敏感目录数据。
  • 要点：先决条件
  • 列表：您可以作为 Directory Manager 进行身份验证，以写入到 LDAP 服务器。
  • 列表：您可以以 root 用户身份进行身份验证以重启 IdM 服务。
  • 列表：将 nsslapd-allow-anonymous-access 属性更改为 rootdse。 $ ldapmodify -x -D "cn=Directory Manager" -W -h server.example.com -p 389 Enter LDAP Password: dn: cn=config changetype: modify replace: nsslapd-allow-anonymous-access nsslapd-allow-anonymous-access: rootdse modifying entry "cn=config"
  • 列表：重启 389 Directory 服务器实例以加载新设置。 # systemctl restart dirsrv.target
  • 列表：显示 nsslapd-allow-anonymous-access 属性的值。 $ ldapsearch -x -D "cn=Directory Manager" -b cn=config -W -h server.example.com -p 389 nsslapd-allow-anonymous-access | grep nsslapd-allow-anonymous-access Enter LDAP Password: # requesting: nsslapd-allow-anonymous-access nsslapd-allow-anonymous-access: rootdse
  • 列表：Red Hat Directory Server 文档： nsslapd-allow-anonymous-access
  • 命令/配置摘录：
$ ldapmodify -x -D "cn=Directory Manager" -W -h server.example.com -p 389
Enter LDAP Password: dn: cn=config changetype: modify replace: nsslapd-allow-anonymous-access nsslapd-allow-anonymous-access: rootdse modifying entry "cn=config"
  • 注意：警告 某些客户端依赖于匿名绑定来发现 IdM 设置。另外，对于没有使用身份验证的传统客户端，compat 树可能无法正常工作。只有在您的客户端不需要匿名绑定时才执行这个流程。

第 9 章 RHEL 中 IdM 的安全加固

  • 要点：应用推荐的安全控制，以减少身份管理(IdM)部署的攻击面，并保持安全状态的安全后果。

9.1. IdM 中的身份保护

  • 要点：保护身份管理 (IdM) 身份，防止凭据被盗。
  • 要点：目录管理器DN（cn=Directory Manager）通过简单的LDAP绑定直接对底层 389 目录服务器进行身份验证，绕过 Kerberos、MFA策略、HBAC 规则和所有访问控制。它不是 IdM 用户帐户，不能受益于 IdM 中配置的任何 MFA 策略。
  • 注意：注意 将其视为一个 break-glass 凭证，即仅在正常访问路径时使用紧急访问帐户：将其存储在 secret vault 或密封的步骤中，禁止例程使用、记录每个使用，并在定义的调度中轮转。日常管理应始终使用命名的管理员帐户。
  • 表格样本（共 4 行）：
    • 建议 | 文档
    • 要求所有用户，包括管理用户和非管理用户都使用MFA | 在 Web UI 中启用一次性密码
    • 定期更换 Directory Manager 账户的密码，并严格限制该账户的使用范围。 | 重置目录管理器用户密码
    • 限制 admin 组成员身份 | 在 IdM CLI 中管理用户组

9.2. IdM 中的访问控制硬化

  • 要点：限制身份管理 (IdM) 部署中的访问以强制实施零信任模型。
  • 要点：端口 389 上的普通 LDAP 以纯文本形式传输凭证和目录数据，从而可以轻松地在网络上拦截。检查尝试启动 STARTTLS 会导致错误，因为已经建立 SSL/TLS 连接：
  • 命令/配置摘录：
$ ldapsearch -x -ZZ '(uid=admin)'
ldap_start_tls: Operations error (1)  additional info: SSL connection already established
  • 注意：注意 如果旧版 NIS 客户端仍然依赖它，请在网络级别隔离这些客户端，确保无法从普通网络网段访问 Compat 树。
  • 表格样本（共 7 行）：
    • 建议 | 文档
    • 禁用 allow_all HBAC 规则 | 使用 CLI 在 IdM 域中配置 HBAC 规则
    • 保持 SELinux 在所有 IdM 服务器上强制执行，并将用户映射到 SELinux 上下文。 | 在 IdM CLI 中映射 SELinux 用户和 IdM 用户
    • 定义自定义 RBAC 角色 | 在 CLI 中管理 IdM 角色

9.3. IdM 中的系统完整性

  • 要点：确保您的身份管理(IdM)部署底层的服务器、备份和加密设置保持安全可靠。
  • 要点：如果在受监管的环境中操作（例如，FedRAMP、NIST 800-53、PCI-DSS 或政府及定义上下文），请在部署 IdM 前在底层操作系统上启用 FIPS 140-2/140-3 模式。FIPS 模式将整个系统限制为经批准的密码算法，覆盖 Kerberos、TLS 和所有 OpenSSL 消费者。
  • 列表：审计哪些服务有 IdM CA 发布的证书，并验证是否存在意外的证书。
  • 列表：如果正在使用轻量级子 CA，则限制子 CA 的颁发。
  • 列表：检查 CRL 和 OCSP 配置，以确保吊销功能正常。
  • 注意：注意 安装 IdM 之前必须启用 FIPS 模式。在部署后启用它需要重新安装。因此，在启用 FIPS 模式前，验证所有客户端和集成服务都支持 FIPS 兼容密码套件。
  • 注意：注意 这将仅审计操作系统配置，而不评估内部 IdM 数据，例如用户帐户或 HBAC 规则。
  • 表格样本（共 7 行）：
    • 建议 | 文档
    • 在 RHEL 安装期间启用 FIPS 模式(受监管环境) | 安装启用了 FIPS 模式的系统
    • 安全备份 IdM 数据(ipa-backup) | 准备使用 IdM 备份数据丢失
    • 定期使用 OpenSCAP | 评估配置是否符合特定基准

9.4. IdM 中的安全监控和检测

  • 要点：检测身份管理 (IdM) deployment 中的安全事件并做出响应。
  • 要点：加强控制可以减少违规的可能性，但不能消除违规。审计日志提供了事后发现控制措施被绕过所需的证据。启用 IdM 的 LDAP 审计日志，收集 Kerberos 身份验证事件，并在 IdM 主机本身被篡改之前将所有日志转发到集中的安全信息和事件管理 (SIEM ) 。
  • 注意：注意 要监控的关键信号：重复失败的 LDAP 绑定、对 admin 组成员资格的意外更改、敏感服务主体的 Kerberos 票据请求，以及 Directory Manager 绑定事件。
  • 表格样本（共 2 行）：
    • 建议 | 文档
    • 启用审计日志记录并将日志转发到主机之外的服务器。 | IdM 日志文件和目录

9.5. IdM 安全加固实施阶段

  • 要点：使用此表，按照部署阶段（从第一天到日常维护）优先选择安全控制。
  • 表格样本（共 4 行）：
    • 阶段 | Actions
    • 第 1 天 | 禁用 allow_all HBAC 规则 要求所有用户，包括管理员和非管理员用户都使用 MFA 定期更换 Directory Manager 账户的密码，并严格限制该账户的使用范围。 专用 IdM 服务器(不与其他服务共置) 验证 IdM 客户端通过 LDAP 与 IdM 服务器通信时是否使用了 TLS 在所有 IdM 服务器上保持 SELinux 强制模式 启用 FIPS 模式(受监管环境)
    • 第 30 天 | 定义自定义 RBAC 角色 禁用匿名 LDAP 绑定 限制 管理 登录位置 将用户映射到 SELinux 上下文 安全地备份 IdM 数据(ipa-backup) 在需要时禁用 Schema兼容性（兼容 ）插件
    • 持续 | 定期使用 OpenSCAP 使用 ipa-healthcheck 启用审计日志记录并将日志转发到主机之外的服务器。 限制 admin 组成员资格 定期查看 sudo 规则 审核和清理复制拓扑 证书和 CA 生命周期管理 安全地继续备份 IdM 数据(ipa-backup) 审计并检测安全配置漂移

第 10 章 IdM 日志文件和目录

  • 要点：身份管理(IdM)服务生成记录系统活动、服务状态和身份验证事件的日志文件。这些日志对于监控 IdM 环境的健康状况，以及在对服务故障或安全事件进行故障排除时执行根本原因分析至关重要。

10.1. IdM 服务器和客户端日志文件和目录

  • 要点：身份管理(IdM)在服务器、副本和客户端系统之间生成日志，以记录部署事件和服务操作。您可以找到特定的日志文件和目录来排除安装错误。
  • 要点：其它资源
  • 列表：IdM 服务器安装故障排除
  • 列表：IdM 客户端安装故障排除
  • 列表：IdM 副本安装故障排除
  • 列表：IdM 中 SSSD 身份验证故障排除
  • 表格样本（共 8 行）：
    • 目录或文件 | 描述
    • /var/log/ipaserver-install.log | IdM 服务器的安装日志。
    • /var/log/ipareplica-install.log | IdM 副本的安装日志。
    • /var/log/ipaclient-install.log | IdM 客户端的安装日志。

10.2. 目录服务器日志文件

  • 要点：目录服务器(DS)实例充当身份管理(IdM)的中央 LDAP 数据存储。使用以下日志文件监控数据级操作，跟踪服务器之间的复制流量，并诊断特定于底层 LDAP 服务的故障。
  • 要点：其它资源
  • 列表：监控服务器和数据库活动
  • 列表：日志文件参考
  • 注意：注意 您还可以审核 IdM API 日志访问的 Apache 错误日志。但是，因为也可以直接通过 LDAP 进行更改，因此出于审计目的，红帽建议启用更全面的 /var/log/dirsrv/slapd-REALM_NAME/audit 日志。
  • 表格样本（共 5 行）：
    • 目录或文件 | 描述
    • /var/log/dirsrv/slapd-REALM_NAME/ | 与 IdM 服务器使用的 DS 实例关联的日志文件。这里记录的大多数操作数据都与服务器数据交互相关。
    • /var/log/dirsrv/slapd-REALM_NAME/audit | 包含在 DS 配置中启用审计时所有 DS 操作的审计跟踪。 注意 您还可以审核 IdM API 日志访问的 Apache 错误日志。但是，因为也可以直接通过 LDAP 进行更改，因此出于审计目的，红帽建议启用更全面的 /var/log/dirsrv/slapd-REALM_NAME/audit 日志。
    • /var/log/dirsrv/slapd-REALM_NAME/access | 包含有关试图访问域 DS 实例的详细信息。

10.3. 在 IdM 服务器中启用审计日志记录

  • 要点：启用审计日志记录，以跟踪身份管理(IdM) LDAP 目录中的管理更改和数据修改。您可以使用详细的审计日志来监控数据，对问题进行故障排除，以及检查网络上的可疑活动。
  • 要点：先决条件
  • 列表：Directory Manager 密码
  • 列表：绑定到 LDAP 服务器： $ ldapmodify -D "cn=Directory Manager" -W << EOF
  • 列表：指定您要进行的所有修改，例如： dn: cn=config changetype: modify replace: nsslapd-auditlog-logging-enabled nsslapd-auditlog-logging-enabled: on - replace:nsslapd-auditlog nsslapd-auditlog: /var/log/dirsrv/slapd-REALM_NAME/audit - replace:nsslapd-auditlog-mode nsslapd-auditlog-mode: 600 - replace:nsslapd-auditlog-maxlogsize nsslapd-au…
  • 列表：通过在新行中输入 EOF 来指示 ldapmodify 命令的末尾。
  • 列表：按 Enter 键两次。
  • 列表：在您要在其上启用审计日志的所有其他 IdM 服务器中重复前面的步骤。
  • 命令/配置摘录：
$ ldapmodify -D "cn=Directory Manager" -W << EOF
dn: cn=config changetype: modify replace: nsslapd-auditlog-logging-enabled nsslapd-auditlog-logging-enabled: on - replace:nsslapd-auditlog nsslapd-auditlog: /var/log/dirsrv/slapd-REALM_NAME/audit - replace:nsslapd-auditlog-mode nsslapd-auditlog-mode: 600 - replace:nsslapd-auditlog-maxlogsize nsslapd-auditlog-maxlogsize: 100 - replace:nsslapd-auditlog-logrotationtime nsslapd-auditlog-logrotationtime: 1 - replace:nsslapd-auditlog-logrotationtimeunit nsslapd-auditlog-logrotationtimeunit: day
  • 注意：注意 如果记录了大量 LDAP 更改，尤其是更改值较大的情况下，LDAP 服务可能会变得较慢。

10.4. 修改 IdM 服务器上的错误日志

  • 要点：增加错误日志级别，以获取特定目录服务器子系统（如复制）的详细调试信息。通过从默认状态调整日志级别，您可以捕获更精细的数据来识别服务故障的根本原因。
  • 要点：要记录不同类型的信息，请在 Red Hat Directory Server 文档中的 错误日志级别 的列表中选择不同的数字。
  • 列表：目录管理器密码。
  • 列表：绑定到 LDAP 服务器： $ ldapmodify -x -D "cn=directory manager" -w <password>
  • 列表：指定要进行的修改。例如，仅收集与复制相关的日志： dn: cn=config changetype: modify add: nsslapd-errorlog-level nsslapd-errorlog-level: 8192
  • 列表：按 [Enter] 两次，表示 ldapmodify 指令的结束。这将显示 modifying entry "cn=config" 消息。
  • 列表：按 [Ctrl+C] 退出 ldapmodify 命令。
  • 列表：在您要在其上收集关于复制错误的详细日志的其他 IdM 服务器上重复前面的步骤。 重要 完成故障排除后，将 nsslapd-errorlog-level 设回 0 以防止性能问题。
  • 命令/配置摘录：
$ ldapmodify -x -D "cn=directory manager" -w <password>
dn: cn=config changetype: modify add: nsslapd-errorlog-level nsslapd-errorlog-level: 8192
  • 注意：注意 如果记录了大量不同类型的 LDAP 错误，尤其是错误记录中的值较大时，LDAP 服务可能会变得较慢。
  • 注意：重要 完成故障排除后，将 nsslapd-errorlog-level 设回 0 以防止性能问题。

10.5. IdM Apache 服务器日志文件

  • 要点：身份管理(IdM)使用 Apache HTTP 服务器来托管 Web UI，并管理远程过程调用(RPC)接口的通信。使用以下日志来监控基于 Web 的流量、对管理控制台的系统管理访问，以及故障排除相关的问题。
  • 要点：其它资源
  • 列表：日志文件
  • 表格样本（共 4 行）：
    • 目录或文件 | 描述
    • /var/log/httpd/ | Apache Web 服务器的日志文件。
    • /var/log/httpd/access_log | Apache 服务器的标准访问和错误日志。特定于 IdM 的消息会和 Apache 信息一起记录，因为 IdM Web UI 和 RPC 命令行界面使用 Apache。访问日志主要仅用于用户主体和使用的 URI，通常是 RPC 端点。错误日志包含 IdM 服务器日志。
    • /var/log/httpd/error_log

10.6. IdM 中的证书系统日志文件

  • 要点：使用身份管理(IdM)证书系统日志文件来审核证书颁发，跟踪密钥恢复授权(KRA)操作，并对内部证书颁发机构(CA)进行故障排除。
  • 要点：其它资源
  • 列表：配置子系统日志
  • 表格样本（共 7 行）：
    • 目录或文件 | 描述
    • /var/log/pki/pki-ca-spawn.time_of_installation.log | IdM 证书颁发机构 (CA) 的安装日志。
    • /var/log/pki/pki-kra-spawn.time_of_installation.log | IdM 密钥恢复授权 (KRA) 的安装日志。
    • /var/log/pki/pki-tomcat/ | PKI 操作日志的顶级目录。包含 CA 和 KRA 日志。

10.7. IdM 中的 Kerberos 日志文件

  • 要点：Kerberos 是身份管理（IdM）的主要身份验证协议。监控密钥分发中心(KDC)和管理服务器日志文件，以诊断票据授予失败和凭证问题。
  • 表格样本（共 4 行）：
    • 目录或文件 | 描述
    • /var/log/krb5kdc.log | Kerberos KDC 服务器的主日志文件。
    • /var/log/kadmind.log | Kerberos 管理服务器的主日志文件。
    • 这些文件的位置在 krb5.conf 文件中配置。在某些系统中，它们可能会有所不同。

10.8. IdM 中的 DNS 日志文件

  • 要点：身份管理（IdM）使用集成的 DNS 来实现服务发现和域路由。使用以下系统日志来监控 DNS 查询活动并解决名称解析问题。
  • 表格样本（共 2 行）：
    • 目录或文件 | 描述
    • /var/log/messages | 包括 DNS 错误消息和其他系统信息。默认情况下不启用此文件中的 DNS 日志记录。要启用它，请输入 # /usr/sbin/rndc querylog 命令。要禁用日志记录，请再次运行命令。

10.9. IdM 中的 custodia 日志文件

  • 要点：下表显示了 Custodia 用来记录 Identity Management (IdM) 中的目录和文件。
  • 表格样本（共 2 行）：
    • 目录或文件 | 描述
    • /var/log/custodia/ | Custodia 服务的日志文件目录。

10.10. 其它资源

  • 列表：使用日志文件对问题进行故障排除

完整目录

  • 登录到 IdM 并管理其服务
  • 对红帽文档提供反馈
  • 第 1 章 从命令行登录到身份管理
    • 1.1. 使用 kinit 手动登录到 IdM
    • 1.2. 销毁用户的活动的 Kerberos 票
    • 1.3. 为 Kerberos 身份验证配置外部系统
  • 第 2 章 查看、启动和停止身份管理服务
    • 2.1. IdM 服务器和客户端服务概述
      • 2.1.1. IdM 服务器托管的服务列表
      • 2.1.2. IdM 客户端托管的服务列表
    • 2.2. 查看 IdM 服务的状态
    • 2.3. 启动和停止整个身份管理服务器
    • 2.4. 启动和停止单个身份管理服务
    • 2.5. 显示 IdM 软件版本
  • 第 3 章 IdM 命令行工具简介
    • 3.1. 先决条件
    • 3.2. 什么是 IPA 命令行界面
    • 3.3. IPA 帮助是什么
    • 3.4. 使用 IPA 帮助主题
    • 3.5. 使用 IPA help 命令
    • 3.6. IPA 命令的结构
    • 3.7. 使用 IPA 命令将用户帐户添加到 IdM
    • 3.8. 使用 IPA 命令修改 IdM 中的用户帐户
    • 3.9. IdM 中的多值属性
    • 3.10. IdM CLI 中的特殊字符
    • 3.11. 在 IdM CLI 中指定服务器
  • 第 4 章 从命令行搜索身份管理条目
    • 4.1. 列出 IdM 条目的概述
    • 4.2. 显示特定条目的详情
    • 4.3. 修改 IPA 命令选项的 LDAP 属性值
    • 4.4. 调整搜索大小和时间限制
      • 4.4.1. 在命令行中调整搜索大小和时间限制
      • 4.4.2. 在 Web UI 中调整搜索大小和时间限制
  • 第 5 章 在 web 浏览器中访问 IdM Web UI
    • 5.1. 先决条件
    • 5.2. 为智能卡验证配置 Web 浏览器
    • 5.3. 访问 Web UI
  • 第 6 章 在 Web UI 中登录到 IdM: 使用 Kerberos 票据
    • 6.1. 身份管理中的 Kerberos 身份验证
    • 6.2. 使用 kinit 手动登录到 IdM
    • 6.3. 为 Kerberos 身份验证配置浏览器
    • 6.4. 使用 Kerberos 票据登录到 Web UI
    • 6.5. 为 Kerberos 身份验证配置外部系统
    • 6.6. 为活动目录用户启用 Web UI 登录
  • 第 7 章 使用一次性密码登录到身份管理 Web UI
    • 7.1. 先决条件
    • 7.2. 身份管理中的一次性密码(OTP)身份验证
      • 7.2.1. 可用的 OTP 身份验证方法
      • 7.2.2. GNOME Keyring 服务支持
      • 7.2.3. 使用 OTP 进行离线身份验证
    • 7.3. 在 Web UI 中启用一次性密码
    • 7.4. 在 IdM 中为 OTP 验证配置 RADIUS 服务器
    • 7.5. 在 Web UI 中添加 OTP 令牌
    • 7.6. 使用一次性密码登录到 Web UI
    • 7.7. 使用 Web UI 同步 OTP 令牌
    • 7.8. 更改过期的密码
    • 7.9. 以 OTP 或 RADIUS 用户身份检索 IdM 票据授予票据
    • 7.10. 为所有 LDAP 客户端强制使用 OTP
  • 第 8 章 保护 LDAP 访问
    • 8.1. Identity Management 默认访问策略
    • 8.2. Identity Management 中的匿名 LDAP 绑定
    • 8.3. 禁用匿名绑定
  • 第 9 章 RHEL 中 IdM 的安全加固
    • 9.1. IdM 中的身份保护
    • 9.2. IdM 中的访问控制硬化
    • 9.3. IdM 中的系统完整性
    • 9.4. IdM 中的安全监控和检测
    • 9.5. IdM 安全加固实施阶段
  • 第 10 章 IdM 日志文件和目录
    • 10.1. IdM 服务器和客户端日志文件和目录
    • 10.2. 目录服务器日志文件
    • 10.3. 在 IdM 服务器中启用审计日志记录
    • 10.4. 修改 IdM 服务器上的错误日志
    • 10.5. IdM Apache 服务器日志文件
    • 10.6. IdM 中的证书系统日志文件
    • 10.7. IdM 中的 Kerberos 日志文件
    • 10.8. IdM 中的 DNS 日志文件
    • 10.9. IdM 中的 custodia 日志文件
    • 10.10. 其它资源