Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

27.3. IdM での PKINIT の設定

IdM サーバーが PKINIT を無効にした状態で動作している場合は、以下の手順に従って有効にします。たとえば、--no-pkinit オプションを ipa-server-install ユーティリティーまたは ipa-replica-install ユーティリティーで渡した場合には、PKINIT が無効になります。

前提条件

  • 認証局 (CA) がインストールされているすべての IdM サーバーが、同じドメインレベルで稼働していることを確認します。詳細は7章ドメインレベルの表示と引き上げを参照してください。

手順

  1. CA を使用せずに IdM を使用している場合は、ipa-server-certinstall ユーティリティーを使用して、外部の Kerberos キー配布センター (KDC) 証明書をインストールします。KDC 証明書は以下の条件を満たしている必要があります。
    • これは、共通名 CN=fully_qualified_domain_name、certificate_subject_base で発行されます。
    • これには、Kerberos プリンシパル krbtgt/REALM_NAME@REALM_NAME が含まれます。
    • KDC 認証のオブジェクト識別子 (OID) が含まれます:1.3.6.1.5.2.3.5。 
    # ipa-server-certinstall --kdc kdc.pem
# systemctl restart krb5kdc.service
    詳細は ipa-server-certinstall(1) の man ページを参照してください。
  2. PKINIT を有効にします。 
    $ ipa-pkinit-manage enable
Configuring Kerberos KDC (krb5kdc)
  [1/1]: installing X509 Certificate for PKINIT
Done configuring Kerberos KDC (krb5kdc).
The ipa-pkinit-manage command was successful
    IdM CA を使用している場合、コマンドは CA から PKINIT KDC 証明書を要求します。
  3. 新しい PKINIT の状態を確認するには、「現在の PKINIT 設定の表示」 を参照してください。