Аутентификация по ключам в SSH из AD. Какие варианты (хочется не раздавать ключи, а он-лайн)?

Question

[Vitus9856]

Я хочу масссово (больше сотни) пользователей аутентифицировать через ssh keys, но хранить их в AD\Scheme. Напрашивается решение AD<>FreeIPA<>Linux Host (SSSD+OpenSSH)
Вопрос: у кого-нибудь взлетало? Что лучше делать-траст или члена домена на FreeIPA? были какие-нибудь схемы работы?

Answer 1

[g0ha]

В freeipa все есть из коробки, ключ можно загрузить как через морду, так и через rest api или ldapmodify

Answer 2

[Александр Семененко]

Так можно же через kerberos проходить аутентификацию. Там linux вводят в домен, затем ssh (/etc/ssh/sshd_config) конфиг правят примерно так:

KerberosAuthentication yes
KerberosTicketCleanup yes
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes