요약: LXC 에서 FreeIPA 구성 시
1. unprivileged 체크 해제 필요: 체크 되어 있으면 SSSD - Kerberos 인증이 안 됨
- 정확히 어느 제한 때문에 안되는지는 모르겠습니다.
2. NTP: --no-ntp 로 NTP 구성 안 해야 함
- 어차피 컨테이너 호스트 시간을 따라가므로 컨테이너에서 시간 동기화가 필요없기도 하고, 권한 해제하면 되긴 될텐데 굳이...?
Proxmox 에 VM 과 LXC 방식으로 가상화를 할 수 있습니다.
VM 은 하드웨어부터 가상화해서 OS 가 올라가는 방식으로 부팅 시 BIOS 화면부터 OS 까지 다 볼 수있고, 다양한 OS 를 올릴 수 있습니다.
LXC 는 리눅스 컨테이너인데, 다들 아시는 Docker 라고 생각하면 되는데 좀 다른 모양이더군요.
여하간에 저는 FreeIPA 와 Keycloak 을 구성하여 모든 인증을 합칠 생각으로 FreeIPA 를 VM 으로 구성했습니다.
잘 동작하는데..자주 사용하는 인스턴스가 아닌데 CPU 를 계속 1% 가량 쓰는게 아깝더라고요.
그래서 LXC 로 구성... NTP 서비스가 안 올라가는 문제는 --no-ntp 로 해결
설치 완료 후 FreeIPA 웹 인터페이스 정상 접속 되고, Proxmox 에 LDAP Realm 추가하여 LDAP 계정으로 Proxmox 로그인도 성공
그 뒤에 LXC 리눅스 머신 간 SSH 접속을 하니 패스워드가 맞음에도 접속 실패... 로그를 아무리 살펴봐도 잘못된 부분이 없고, 검색해봐도 OS 버그라느니 이런 내용만 있다가...
Proxmox 키워드를 넣어보니 그제서야 unpriviliged 체크 해제하라는 글을 찾았습니다.
https://www.reddit.com/r/Proxmox/comments/rqmq1b/unprivileged_lxc_sssd_configuration/
https://www.reddit.com/r/Proxmox/comments/rqmq1b/unprivileged_lxc_sssd_configuration/
uid gid ¸ÊÇÎ ÀÌÈÄ ssh Á¢¼Ó Àß µË´Ï´Ù. LDAP UID °ªÀÌ ³Ê¹« Ä¿¼ ¾ÈµÇ´Â°Å¶ó³×¿ä.
/etc/pve/lxc/CTID.conf
lxc.idmap: u 1000000 1000000 200000
lxc.idmap: g 1000000 1000000 200000
lxc.idmap: u 0 100000 65536
lxc.idmap: g 0 100000 65536
/etc/subuid, /etc/subgid ¿¡ Ãß°¡
root:1000000:2000000
freeipa-server ¼³Ä¡ ½Ã idstart, idmax °ª ÁöÁ¤
ipa-server-install \
--setup-dns \
--ds-password='DOMAIN PASSWORD' \
--admin-password='IPA PASSWORD' \
--domain=jellypo.pe.kr \
--realm='JELLYPO.PE.KR' \
--hostname=ipa1.jellypo.pe.kr \
--netbios-name=IPA1 \
--no-ntp \
--idstart=1000000 \
--idmax=1999999