Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

第17章 ホストとサービスへのアクセスの委譲

本章のコンテキストで管理するには、キータブと、別のホストまたはサービスの証明書を取得できるようになります。すべてのホストとサービスには managedby エントリーがあり、これにホストやサービスが管理可能なものが記載されています。デフォルトでは、ホストはホスト自体とそのサービスすべてを管理できます。適切な委譲を更新するか、適切な managedby エントリーを指定して、ホストが他のホストや他のホスト上のサービスを管理できるようにすることも可能です。
IdM サービスは、そのサービスへのアクセス許可が付与、または委譲されている IdM ホストであれば、どのホストからでも管理できます。同様に、ホストにはドメイン内の他のホストへのパーミッションを委譲できます。

図17.1 ホストおよびサービスの委譲

ホストおよびサービスの委譲
注記
managedBy エントリーで別のホストに権限が委譲されている場合に、そのホスト上の全サービスの管理を委譲されたわけではありません。委譲は個別に実行される必要があります。

17.1. サービス管理の委譲

service-add-host ユーティリティーを使用してサービスの制御をホストに委譲します。 
# ipa service-add-host principal --hosts=hostname
サービスの委譲には、以下の 2 つの部分があります。
  • principal 引数を使用したプリンシパルの指定。
  • --hosts オプションを使用して、制御でホストを特定します。
以下に例を示します。 
[root@server ~]# ipa service-add HTTP/web.example.com
[root@server ~]# ipa service-add-host HTTP/web.example.com --hosts=client1.example.com
ホストに権限が委譲されると、ホストプリンシパルを使ってサービスを管理できます。 
[root@client1 ~]# kinit -kt /etc/krb5.keytab host/client1.example.com
[root@client1 ~]# ipa-getkeytab -s server.example.com -k /tmp/test.keytab -p HTTP/web.example.com
Keytab successfully retrieved and stored in: /tmp/test.keytab
このサービスのチケットを作成するには、委譲された権限でホストで証明書要求を作成します。 
[root@client1]# kinit -kt /etc/krb5.keytab host/client1.example.com
[root@client1]# openssl req -newkey rsa:2048 -subj '/CN=web.example.com/O=EXAMPLE.COM' -keyout /etc/pki/tls/web.key -out /tmp/web.csr -nodes
Generating a 2048 bit RSA private key
.............................................................+++
............................................................................................+++
Writing new private key to '/etc/pki/tls/private/web.key'
cert-request ユーティリティーを使用してサービスエントリーを作成し、証明書情報を読み込みます。 
[root@client1]# ipa cert-request --principal=HTTP/web.example.com web.csr
Certificate: MIICETCCAXqgA...[snip]
Subject: CN=web.example.com,O=EXAMPLE.COM
Issuer: CN=EXAMPLE.COM Certificate Authority
Not Before: Tue Feb 08 18:51:51 2011 UTC
Not After: Mon Feb 08 18:51:51 2016 UTC
Serial number: 1005
証明書要求を作成し、ipa cert-request を使用する方法は、「ユーザー、ホスト、またはサービス向けの新規証明書のリクエスト」。
このページには機械翻訳が使用されている場合があります (詳細はこちら)。