Использование служебной учетной записи для соединения с LDAP-сервером FreeIPA
16 сентября 2026
ID 335452
Для минимизации векторов атаки и снижения рисков компрометации соединения с LDAP-сервером FreeIPA или ALD Pro вы можете при создании keytab-файла использовать служебную учетную запись (Service Account), которая не является POSIX-пользователем, не имеет прав на вход в домен, а используется только для чтения LDAP.
Keytab-файл создается на сервере контроллера домена FreeIPA под учетной записью с правами доменного администратора. По умолчанию это учетная запись admin.
Чтобы создать keytab-файл с использованием служебной учетной записи:
- С помощью утилиты kinit получите билет Kerberos для учетной записи с правами доменного администратора. Для этого в командной строке выполните следующую команду:
kinit admin@<realm имя домена FreeIPA в верхнем регистре> - Для создания служебной учетной записи потребуется существующая запись хоста. Например, создайте учетную запись для Управляющего узла кластера с помощью команды:
ipa host-add --force <полное доменное имя (FQDN) Управляющего узла кластера> - Создайте служебную учетную запись, которая будет привязана к учетной записи хоста. Выберите имя службы, например ksmg-ldap. Сделать это можно с помощью команды:
ipa service-add ksmg-ldap/<учетная запись хоста>@<realm имя домена FreeIPA в верхнем регистре> - С помощью утилиты ipa-getkeytab создайте keytab-файл. Для этого в командной строке выполните следующую команду:
ipa-getkeytab -p ksmg-ldap/<учетная запись хоста>@<realm имя домена FreeIPA в верхнем регистре> -k <имя файла>.keytab -e aes256-cts-hmac-sha1-96
Keytab-файл будет создан. Этот файл нужно будет использовать для интеграции KSMG со службой каталогов FreeIPA.
Пример:
|
