如何过滤SSSD从AD服务器获取的用户组，仅保留指定SSH授权组以优化GlusterFS性能

碰到过一模一样的场景！大学AD的组泛滥确实头疼，尤其是还牵连到GlusterFS的性能问题——那些workaround的资源消耗真的顶不住，咱们直接说怎么用SSSD本身的配置来解决，这绝对是更高效的方案。

核心思路 #

SSSD本身就支持过滤从AD同步的用户组，咱们可以通过配置让它只拉取你需要的那3个SSH授权组，这样id USERID输出里就只会显示这些组，从根源上解决GlusterFS的多组问题。

具体配置步骤 #

1. 编辑SSSD域配置文件
   打开你的SSSD域配置（通常是/etc/sssd/sssd.conf），找到对应的AD域段（比如[domain/your-university-ad]），添加下面两种配置之一：

   • 方式一：直接指定目标组（推荐，更直观）
     使用ad_user_groups参数，填写你需要保留的组的完整DN或者组名（如果组名在AD里唯一的话）：

     ad_user_groups = CN=SSH-Auth-Group1,OU=Groups,DC=university,DC=edu, CN=SSH-Auth-Group2,OU=Groups,DC=university,DC=edu, CN=SSH-Auth-Group3,OU=Groups,DC=university,DC=edu
     

   • 方式二：用LDAP过滤器灵活匹配
     如果组名有规律，或者需要更复杂的筛选逻辑，用ldap_user_group_filter参数（AD兼容LDAP过滤语法）：

     ldap_user_group_filter = (&(objectClass=group)(|(cn=SSH-Auth-Group1)(cn=SSH-Auth-Group2)(cn=SSH-Auth-Group3)))
     

2. 重启SSSD并刷新缓存
   修改配置后，必须重启服务并清除旧缓存，让新配置生效：

   systemctl restart sssd
   # 清除特定用户的缓存（推荐，避免影响所有用户）
   sss_cache -U USERID
   # 如果需要清空全部缓存，用这个命令
   # sss_cache -E
   

3. 验证效果
   用id USERID命令查看用户的组信息，应该只会显示你指定的那3个SSH授权组，其他100+个AD组都会被过滤掉。

额外提示 #

• Ubuntu 22.04默认安装的SSSD版本完全支持这些参数，不用额外升级
• 如果同时需要限制只有这3个组的用户能登录服务器，可以再加上simple_allow_groups = SSH-Auth-Group1,SSH-Auth-Group2,SSH-Auth-Group3，和组过滤配置配合使用
• 这个方案完全不需要依赖GlusterFS的workaround，性能会直接回到原来的水平，不会再出现进程占用1.75核的情况

备注：内容来源于stack exchange，提问作者user7037