質問: 2 アップデート#2:私はこの構成をかなり長い間使用しています。 account_cache_expirationとoffline_credentials_expirationを2から4に増やしましたが、サーバーでこの設定を使い始めたので、うまく機能しています。
回答: では、centos 7でユーザーのキャッシュされたactive directoryパスワードをクリアするにはどうすればよいですか? 一般的にsss_cacheは、おそらくすでにキャッシュされているオブジェクトを再取得するようにsssdに指示する正しい方法であるべきです。しかし、adから何も取得できない場合、afaik sssdは実際にキャッシュされたオブジェクトを再び使用します。設定により、常にキャッシュされた資格情報をリセットできるはずです[domain/your-domain.tld] ... cache_credentials = false /etc/sssd/sssd.confで、sssdサービスを再起動し、ユーザーで再認証します。この方法で、sssd/adを介した認証がまったく機能するかどうかを判断できるはずです。完全なセットアップが現在の設定で(キャッシュを使用せずに)機能しているかどうかを確認するには、実際にdeleteすべてのキャッシュを使用することを常にお勧めします。最も効果的な方法については、下部の情報を参照してください。 「通常の」ユーザーが自分でそれを行う方法はありますか(これを他のシステムにロールアウトしたい場合に備えて)? これを安全に実装する方法がわかりません。私見これはあなたが望むものではありません。しかし、それはとにかく必要ではありません。 sssdは常に、いくつかの条件に基づいて、キャッシュされた資格情報を再評価する必要があります。ほとんどの場合、次のように設定して、数日後に再評価を強制し、実際に環境に問題があるかどうかを確認することをお勧めします[pam] ... offline_credentials_expiration デフォルトoffline_credentials_expiration に設定されています 0 (制限なし)ほとんどの場合、確認したい場合は、使用中のキャッシュがないため、次のようにしますsystemctl stop sssd rm /var/lib/sssd/db/* systemctl start sssd これは、機能しないsssdセットアップにつながる可能性があります(ただし、すべてのデータsssdが保持しているadから単純に再取得できるため、セットアップに問題がある場合のみ)。