Ищу вашу помощь по сценарию ниже
Сценарий - Моя аутентификация происходит с использованием 2 доменов (у нас есть доверительные отношения между доменами 1 и 2). Мы перенесли серверы с домена 1 на домен 2.
В домене 1 включен POSIX а не Домен 2
Есть ли у меня возможность установить "ldap_id_mapping = True" для первого домена и ldap_id_mapping = False для второго домена.
Ниже мой файл sssd.conf. Пожалуйста, предложите
[sssd]
domains = domain2.com
config_file_version = 2
services = nss, pam
default_domain_suffix = domain1.com
[domain/domain2.com]
ad_domain = domain2.com
krb5_realm = domain2.com
realmd_tags = manages-system joined-with-samba
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping =true
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
debug_level = 9
[domain/domain1.com]
ad_domain = domain1.com
krb5_realm = domain1.com
realmd_tags = manages-system joined-with-samba
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = False
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
Да, это должно сработать, потому что домены, если они определены отдельно в файле конфигурации, не связаны друг с другом. Но обратите внимание, что если два домена доверяют друг другу, то поставщик поддоменов sssd автоматически обнаружит другой домен. В вашем случае вы можете отключить поставщика поддоменов, установив для него значение «none» в файле конфигурации. В зависимости от вашей версии (и в зависимости от того, имеет ли версия ad_enabled_domains или нет) вам также может потребоваться установить SID домена, потому что, по крайней мере, для домена с включенным сопоставлением идентификаторов. Это потому, что при сопоставлении идентификаторов SSSD должен знать SID домена, а поставщик поддоменов - это тот, который обнаруживает также SID главного домена (да, сбивает с толку имя ..)
(редактировать: я только что заметил, что вы явно сказали, что используете RHEL-6. Там ad_enabled_domains будут доступны только в RHEL-6.9)