用于 Linux 机器的 IPA 与仅 LDAP - 寻找比较

Question

很少有（约 30 个）Linux (RHEL) 机器，我正在寻找集中且易于管理的解决方案，主要用于控制用户帐户。我熟悉 LDAP，并部署了 Red Hat (==FreeIPA) 的 IPA ver2 试点。

我知道理论上 IPA 提供了类似“MS Windows 域”的解决方案，但乍一看，它[还] 不是那么容易和成熟的产品。除了 SSO，是否有任何仅在 IPA 域中可用而在我使用 LDAP 时不可用的安全功能？

我对 IPA 域的 DNS 和 NTP 部分不感兴趣。

Answer 1

首先，我会说 IPA 非常适合目前（并且已经有很长一段时间）的生产环境，尽管您现在应该使用 3.x 系列。

IPA 不提供“类似 MS Windows AD”的解决方案，而是提供在Active Directory 和 IPA 域（实际上是 Kerberos REALM）之间建立信任关系的能力。

关于一些可以在标准 LDAP 安装或基于 LDAP 的 Kerberos REALM 中不存在的 IPA开箱即用的安全功能，让我们举几个例子：

• 为用户存储 SSH 密钥
• SELinux 映射
• HBAC规则
• 须藤规则
• 设置密码策略
• 证书（X509）处理

与 SSO 相关，请记住目标应用程序必须支持 Kerberos 身份验证和 LDAP 授权。或者能够与 SSSD 交谈。

最后，如果您不想，您不需要配置 NTP 或 DNS，两者都是可选的。但是，我非常建议同时使用两者，因为您始终可以将 NTP 委派到更高层，并轻松为您的领域之外的任何内容设置转发器。