3.5. ロードバランサーのキータブの作成、およびキータブを使用するように Directory Server の設定

ユーザーが GSSAPI を使用してロードバランサーの背後にある Directory Server に対して認証できるようにするには、ロードバランサー用に Kerberos プリンシパルを作成し、Directory Server が Kerberos プリンシパルを使用するように設定します。本セクションでは、この手順を説明します。

前提条件

以下の .inf ファイル設定を含むインスタンス:

  • full_machine_name パラメーターがロードバランサーの DNS 名に設定された。
  • strict_host_checking パラメーターが False に設定されています。

手順

  1. ロードバランサーの Kerberos プリンシパルを作成します。たとえば、ldap/loadbalancer.example.com@EXAMPLE.COM です。
  2. 必要に応じて、キータブファイルにさらにプリンシパルを追加できます。たとえば、ユーザーが Kerberos 認証を使用してロードバランサーの背後にある Directory Server インスタンスに直接接続できるようにするには、Directory Server ホスト用に追加のプリンシパルを追加します。たとえば、ldap/server1.example.com@EXAMPLE.COM です。

    サービスプリンシパルを作成する手順は、Kerberos インストールによって異なります。詳細は、Kerberos サーバーのドキュメントを参照してください。

  3. サービスキータブファイルを Directory Server にコピーします。たとえば、これを /etc/dirsrv/slapd-instance_name/ldap.keytab ファイルに保存します。
  4. サービスキータブへのパスを /etc/sysconfig/slapd-instance_name ファイルに追加します。

    KRB5_KTNAME=/etc/dirsrv/slapd-instance_name/ldap.keytab
  5. Directory Server インスタンスを再起動します。

    # systemctl restart dirsrv@instance_name
  6. GSSAPI プロトコルを使用してロードバランサーに接続できることを確認します。以下に例を示します。

    # ldapsearch -H ldap://loadbalancer.example.com -Y GSSAPI

    Directory Server ホスト自体など、キータブファイルに Kerberos プリンシパルを追加した場合は、この接続を確認する必要もあります。以下に例を示します。

    # ldapsearch -H ldap://server1.example.com -Y GSSAPI