23.7. KDC からチケット取得する際に、特定の認証インジケータを強制

特定の認証インジケーターを以下で強制するには:
  • ホストオブジェクト。以下を実行: 
    # ipa host-mod host_name --auth-ind=indicator
  • Kerberos サービス。以下を実行: 
    # ipa service-mod service/host_name --auth-ind=indicator
複数の認証インジケーターを設定するには、--auth-ind パラメーターを複数回にわたり指定します。

警告

HTTP/IdM_master サービスに認証インジケーターを設定すると、IdM マスターがエラーします。また、IdM によるユーティリティでは、マスターを復元できません。

例23.7 特定のホストでの pkinit インジケーターの適用

以下のコマンドでは、スマートカードから認証されたユーザーのみが host.idm.example.com ホストのサービスチケットを取得できます。 
# ipa host-mod host.idm.example.com --auth-ind=pkinit
上記の設定では、Kerberos チケットをリクエストするユーザーの ticket-granting ticket (TGT) が pkinit 認証インジケーターを含むようにしています。