Возможно боян, сравнение RHEL и офтопика устами офтопика.

Тем не менее, ты не сказал как избежать ситуации с левым/подставным вторым доменом.

У тебя проблемы с логикой. Попробую объяснить почему (хотя сомневаюсь, что поймешь :-)). Рассматриваем ситуацию - рабочая станция на линуксе, настроен sssd для коннекта на LDAP-сервер.

Чтобы прикинуться другим пользователем, по твоему мнению достаточно создать фиктивный домен, из которого SSSD возьмет сфабрикованную информацию? А вот хрен - для того, чтобы это сделать, тебе потребуется права root, а если ты их имеешь - машина УЖЕ скомпрометирована и эскалация привилегий уже произошла. Просто подсунуть свой LDAP-сервер ты также не сможешь - ты не знаешь пароля машины и ключа сертификата истиного сервера. Если ты можешь их узнать - у тебя опять таки УЖЕ есть рут и машина УЖЕ скомпрометирована.

Итого, чтобы скомпрометировать путем «левого/подставного домена», машина уже должна быть скомпрометирована (злоумышленник должен уже иметь права root).

ты где нашёл хоть слово про linux? я про win системы. Linux в ldap мне загонять не доводилось и вероятнее всего в обозримом будущем не придётся.

А никакой разницы. Чтобы ввести систему в домен нужны права администратора. А если они есть у злоумышленника - система скомпрометирована. Всё.

ок. принято.