SSSD 对接 AD 是做什么的
SSSD 是系统服务守护进程，负责把远程目录服务的认证与账户信息接进本机的 NSS 与 PAM 链路，让域账号能像本地账号一样登录与切换用户。对接 Active Directory 时，/etc/sssd/sssd.conf 定义域、认证提供者与访问控制策略：access_provider 决定谁能登录，simple_allow_groups 可以只放行指定域组。改配置后要清缓存再验证，组授权比全部放行更符合最小权限要求。
基本信息
| 配置文件 | /etc/sssd/sssd.conf，权限必须为 600 |
|---|---|
| 服务 | sssd，通过 nss 与 pam 两个服务模块接入 |
| 域定义 | [domain/域名] 段落内配置 id_provider 与 access_provider |
| 访问控制 | simple_allow_groups 指定允许登录的域组 |
| 缓存清理 | sss_cache -E 清空缓存后重新验证 |
典型使用场景
- 信创终端加入 AD 后，用 SSSD 提供域账号登录与账户解析
- 按域组控制登录权限，人员调整只需在域侧修改组成员
- 排查域账号登录失败：确认认证提供者、访问控制与缓存状态
- 域侧改组或停用账号后刷新缓存，让终端权限即时变化
- 多域或多信任关系环境下核对域配置是否正确
- 交付验收时验证域账号与本地应急账号都能正常使用
配置与验证
配置与验证
# /etc/sssd/sssd.conf（权限必须 600）
cat > /etc/sssd/sssd.conf <<'EOF'
[sssd]
services = nss, pam
domains = example.com
[domain/example.com]
id_provider = ad
access_provider = ad
ad_domain = example.com
simple_allow_groups = linux-users@example.com
EOF
chmod 600 /etc/sssd/sssd.conf # 权限过宽 sssd 会拒绝启动
systemctl restart sssd # 重启使配置生效
sss_cache -E # 清空缓存，避免看到旧数据
id user@example.com # 验证域账号可解析
sssctl domain-status example.com # 查看域连接与状态关键配置项读法
| 配置项 | 作用 | 设置建议 |
|---|---|---|
| services | 启用的服务模块 | 至少包含 nss 与 pam |
| domains | 管理的域列表 | 与 domain 段落名称一致 |
| id_provider | 账户信息来源 | 对接 AD 用 ad |
| access_provider | 访问控制判定方式 | 用 ad 或 simple 配合允许清单 |
| simple_allow_groups | 允许登录的组清单 | 组名必须与域内实际名称一致 |
域侧发生变更（改组、停用账号、修改口令策略）后，终端可能因缓存仍显示旧数据，用 sss_cache -E 清理缓存再验证，可以快速区分是域侧问题还是本地缓存问题。
sssd.conf 权限不是 600 时 SSSD 会拒绝启动，配置完成的第一时间就要收紧权限；simple_allow_groups 写错组名会导致所有域用户被拒，改动前先在测试机验证。