![向多个 LDAP 服务器进行身份验证](https://linux22.com/image/54311/%E5%90%91%E5%A4%9A%E4%B8%AA%20LDAP%20%E6%9C%8D%E5%8A%A1%E5%99%A8%E8%BF%9B%E8%A1%8C%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81.png)
根据公司战略,我正在将人类用户身份验证从本地 LDAP 实现转移到集中式 Active Directory 域。问题是我们在 LDAP 中的 sudoers 设置受到严格限制。如果不做大量工作,我们的 Windows 管理员就无法镜像此设置,如果投入时间,甚至可能无法完全镜像此设置。提出的一个想法是这样的:
对 Active Directory 进行身份验证,但在我们现有的 LDAP 基础设施中维护 sudoers 管理。
那么问题是是否可以使用 AD 的替代方法/服务器进行身份验证,以便我可以为 sudoers 提供 LDAP,并在 /etc/nsswitch.conf 中为 passwd 提供替代方案?
由于规模的原因,为每个来宾维护本地 /etc/sudoers 文件在管理上会受到限制,并且在架构和可扩展性方面会倒退。
答案1
我可以推荐使用 Univention Corporate Server (UCS) 的解决方案。它是一个基于 Debian 的 Linux 企业发行版,使用 Samba 4 集成了 Actice Directory 兼容域。因此,这可能成为您所说的集中式 Active Directory。
至于LDAP问题,UCS还包括OpenLDAP。这意味着,您可以使用 UCS 的 OpenLDAP 集成现有的 Linux/Unix 系统,并使用 Samba 4 Active Directory 集成 Windows 客户端/服务器。
关于 sudoers,有一个很酷的 sudo 解决方案,可以通过基于 Web 的 Univention 管理控制台配置 sudo: http://wiki.univention.de/index.php?title=Cool_Solution__-_Setup_sudo_with_ldap_on_multiserver_environments
或者作为另一种选择,如果您希望将现有的 Microsoft AD 保留为主目录,您可以通过 UCS 集成工具 Active Directory Connection 在该目录与 UCS 的 OpenLDAP 目录之间实现用户、组和可选的密码哈希的自动同步。该工具可通过 Univention 应用中心获得,默认情况下,该中心也是 UCS 的一部分。
有关 UCS 的更多信息可以在 am wiki 和以下位置找到: https://www.univention.com/products/ucs/