主页 / server / 问题 / 882840
Accepted
neildeadman
Asked: 2017-11-11 04:13:56 +0800 CST

具有 Active Directory 的 SSSD 站点

  • 772

我是一名 Windows 管理员，负责管理我们的 AD 基础架构。我们的 Linux 团队一直在构建一些 CentOS 7 虚拟机，并将它们配置为使用 SSSD 加入域。

最初的配置是在不同的站点（不是之前写的域）中查询 DC，所以我让他们考虑使用带有 SSSD 的 AD 站点。

服务器现在从 DNS 返回 3 个 _ldap DC 记录。它尝试的第一个是来自不同的站点，因此它无法访问它。第二个有效，它检索正确的站点名称。在一段时间内（不确定到底多长时间），它将使用响应的 DC，并且在该时间过去之后，它将开始重新从 DNS 获取 3 _ldap 记录。

这会导致我们被要求解决的登录延迟。如果我们在配置中设置站点名称，那么它一直有效，但我们必须考虑将这些虚拟机从备份恢复到设置站点名称现在错误的另一个站点。

我对 CentOS 中的配置了解不多，但有没有办法让它正常工作，或者它已经在做什么？

active-directory

1 个回答

  1. Best Answer

    您需要告诉 SSSD 使用哪个站点。

    [domain/example.com]
dns_discovery_domain = MyLocalSite._sites.example.com

    这将为 ldap/kerberos 执行以下 DNS 查找

    dig SRV +short _ldap._tcp.MyLocalSite._sites.example.com
dig SRV +short _kerberos._tcp.MyLocalSite._sites.example.com

    您可以从 AD DNS 或站点和服务获取这些站点的列表

    恕我直言，微软在这方面做得很差，等待您的更改率，您可能想自己设置一个发现子域或使用 FreeIPA

    示例查询dig SRV +short _ldap._tcp.MyLocalSite._sites.example.com

    Microsoft 站点和服务 DNS

    _ldap._tcp.MyLocalSite._sites.example.com 600 IN SRV 0 100 389 dc1.example.com

    IPA 位置 DNS

    _ldap._tcp.MyLocalSite._sites.example.com 600 IN SRV 0 100 389 dc1.example.com
_ldap._tcp.MyLocalSite._sites.example.com 600 IN SRV 100 100 389 dc2.example.com

    配置位置时，IPA 将始终列出所有 ipa 服务器，并根据 geoDNS 修改 dns SRV 记录优先级，希望 Server 2016 会添加对此的支持，我没有关于如何使用 2016 服务器提供本地 SRV 记录的示例。

    如果你想在另一个域下手动创建一个站点，你可以，没有什么说你不能。

    例子

    SSSD.conf

    dns_discovery_domain = MyLocalSite._linux_sites.example.com

    域名系统

    _ldap._tcp.MyLocalSite._linux_sites.example.com 600 IN SRV 0 100 389 dc1.example.com
_ldap._tcp.MyLocalSite._linux_sites.example.com 600 IN SRV 100 100 389 dc2.example.com
    • 5

相关问题