PAM vs LDAP vs SSSD vs Kerberos

Question

我基本上知道这些服务彼此分开做什么。我想知道的是：在使用所有这些服务的基于 linux 的网络中成功登录时究竟会发生什么？咨询这些服务的顺序是什么？什么服务与什么服务对话？

Answer 1

该sssd守护进程充当网络蜘蛛，控制登录过程等等。登录程序与配置pam和nss模块进行通信，在这种情况下，这些模块由 SSSD 包提供。这些模块与相应的 SSSD 响应器通信，后者又与 SSSD 监视器通信。SSSD 在 LDAP 目录中查找用户，然后联系 Kerberos KDC 进行身份验证并获取票证。

（PAM 和 NSS 也可以分别使用 pam_ldap 和 nss_ldap 直接与 LDAP 通信。但是 SSSD 提供了额外的功能。）

当然，这很大程度上取决于 SSSD 的配置方式；有很多不同的场景。例如，您可以将 SSSD 配置为直接使用 LDAP 进行身份验证，或通过 Kerberos 进行身份验证。

该sssd守护进程实际上并没有做太多，不能用已经“手工组装”的系统来完成，但其处理在一个集中的地方的一切优势。SSSD 的另一个重要好处是它可以缓存凭据，从而减轻服务器的负载并使脱机并仍然登录成为可能。这样您就不需要机器上的本地帐户进行离线身份验证。