CentOS8宿主机Docker容器无需加域使用AD用户登录方案咨询

你提到的特权容器内部署SSSD的方案是可行的，确实可以实现无需容器加域即可用AD账号登录的需求，但存在明显短板：--privileged参数给了容器宿主机最高级别的访问权限，会带来极大的安全隐患，不符合生产环境最小权限原则。

以下两个可选路径可根据实际场景选择：

路径1：复用宿主机已加域的SSSD能力（推荐，配置最简便） #

因为你的宿主机已经加入AD域且运行SSSD服务，完全可以直接复用宿主机的身份认证能力，不需要在容器内单独运行SSSD，也不需要特权权限：

• 宿主机侧提前调整SSSD配置，开启套接字共享权限，重启SSSD服务生效
• 启动容器时仅需做3项只读挂载即可：
  • 挂载宿主机/var/lib/sss/pipes/目录到容器内同路径
  • 挂载宿主机/etc/sssd/sssd.conf到容器内同路径（只读权限）
  • 挂载宿主机/etc/krb5.conf到容器内同路径（只读权限）
• 容器内仅需要安装sssd-client、pam_sss、pam_mkhomedir三个依赖包，不需要运行SSSD后台服务
• 调整容器内RDP服务的PAM配置，增加SSSD认证规则和自动创建家目录规则，AD用户登录时会自动完成身份校验、创建本地家目录，无需提前预创建用户

该方案完全规避了容器加域操作，容器销毁重建无任何AD侧残留，权限控制严格，仅开放SSSD认证套接字给容器，无额外安全风险。

路径2：容器内直接对接AD LDAP服务（无需修改宿主机配置） #

如果不方便调整宿主机SSSD配置，可以选择让容器内的PAM模块直接对接AD的LDAP和Kerberos服务实现认证：

• 提前在AD中创建一个只读的普通bind账号，用于容器查询AD用户信息
• 容器内安装pam_ldap、krb5-workstation、pam_mkhomedir依赖包，配置好LDAP对接参数、Kerberos域参数，所有配置可以固化到镜像中，密码可以通过环境变量或者Secret挂载传入
• 同样调整RDP的PAM配置，AD用户登录时会直接向AD发起认证请求，验证通过即可登录，不需要容器加域，也不需要宿主机侧做任何调整

该方案适合宿主机不能随便修改配置的场景，同样不需要特权权限，容器生命周期和AD完全解耦。

• 可以直接基于你在用的docker-wine镜像做二次构建，把认证相关的依赖包、PAM配置预写到镜像里，不需要修改原有Wine、RDP的核心配置
• 如果需要隔离不同AD用户的容器数据，可以在启动容器时给不同用户挂载独立的持久化卷作为家目录，避免容器销毁后用户数据丢失
• 可以通过AD组做访问控制，在PAM配置中添加组过滤规则，只允许指定AD组的用户登录容器。

内容的提问来源于stack exchange，提问作者Octavia Clarke