Product SiteDocumentation Site

⁠Глава 28. Настройка доверия

28.1. В командной строке
28.2. В веб-интерфейсе
28.3. Проверка конфигурации Kerberos
28.4. Проверка конфигурации доверия в FreeIPA
28.5. Проверка конфигурации доверия в AD
28.6. Проверка пользователей доверенного домена
Сервер FreeIPA позволяет настроить три типа соглашений о доверии:
  • одностороннее доверие — вариант по умолчанию. Одностороннее доверие позволяет пользователям и группам AD получать доступ к ресурсам в FreeIPA, но не наоборот. Домен FreeIPA доверяет лесу AD, но лес AD не доверяет домену FreeIPA;
  • двустороннее доверие — позволяет пользователям и группам AD получать доступ к ресурсам в FreeIPA. Обратите внимание, что эта функция двустороннего доверия не позволяет пользователям FreeIPA входить в системы Windows, а двустороннее доверие в FreeIPA не дает пользователям никаких дополнительных прав по сравнению с решением одностороннего доверия в AD. Чтобы создать двустороннее доверие в команду следует добавить параметр --two-way=true;
  • внешнее доверие — доверительные отношения между FreeIPA и доменом AD в разных лесах. В то время как доверие леса всегда требует установления доверия между FreeIPA и корневым доменом леса Active Directory, внешнее доверие может быть установлено от FreeIPA к домену в лесу. Рекомендуется только в том случае, если невозможно установить доверие леса между корневыми доменами леса по административным или организационным причинам. Чтобы создать внешнее доверие в команду следует добавить параметр --external=true.

⁠28.1. В командной строке

Добавление двунаправленных доверительных отношений леса (Forest Trust) с AD: 
# kinit admin
# ipa trust-add --type=ad test.alt --admin Administrator --password --two-way=true
Пароль администратора домена Active Directory:
…
При появлении запроса следует ввести пароль администратора домена Active Directory.

Важно

Учетная запись пользователя, используемая при создании доверия (аргумент опции --admin), должна быть членом группы Domain Admins. Имя учетной записи должно быть на английском языке.

Примечание

Чтобы принять значение по умолчанию, необходимо нажать Enter.
Получить список доверенных доменов леса со стороны AD: 
# ipa trust-fetch-domains test.alt
-------------------------------------------------------------------------------------------------------
Список надёжных доменов успешно обновлён. Используйте команду trustdomain-find для вывода этого списка.
-------------------------------------------------------------------------------------------------------
---------------------------------
Количество возвращённых записей 0
---------------------------------
Чтобы увидеть список всех доверенных доменов из леса используйте следующую команду: 
# ipa trustdomain-find test.alt
  Имя домена: test.alt
  Имя домена NetBIOS: TEST
  Идентификатор безопасности домена: S-1-5-21-90931260-536030259-1550036695
  Домен включён: True
---------------------------------
Количество возвращённых записей 1
---------------------------------