Show Table of Contents
5.7.2.
このページには機械翻訳が使用されている場合があります (詳細はこちら)。
5.7. レガシー Linux クライアントでの Active Directory 信頼
バージョン 1.8 以前の SSSD で Red Hat Enterprise Linux を実行している Linux クライアント (レガシークライアント) は、Active Directory を使った IdM フォレスト間信頼にネイティブのサポートを提供しません。このため、IdM サーバーが提供するサービスに AD ユーザーがアクセスできるようにするには、レガシー Linux クライアントと IdM サーバーを適切に設定する必要があります。
バージョン 1.9 以降の SSSD を使って IdM サーバーと通信することで LDAP 情報を取得する代わりに、レガシークライアントは
nss_ldap
、nss-pam-ldapd
、またはバージョン 1.8 以前の SSSD などの他のユーティリティーを使用します。以下のバージョンの Red Hat Enterprise Linux を稼働しているクライアントは SSSD 1.9 を使用しないため、レガシークライアントとみなされます。
- Red Hat Enterprise Linux 5.7 およびそれ以降
- Red Hat Enterprise Linux 6.0 – 6.3
重要
SSSD バージョン 1.9 およびそれ以降を実行しているクライアントはレガシークライアントとはみなされないので、本セクションに記載の設定は使用しないでください。SSSD 1.9 およびそれ以降は AD を使った IdM フォレスト間信頼にネイティブサポートを提供するので、AD ユーザーは追加設定なしで IdM クライアント上のサービスに適切にアクセスできます。
レガシークライアントが AD を使用した信頼関係内にある IdM サーバーのドメインに参加すると、compat LDAP ツリー が必要なユーザーおよびグループデータを AD ユーザーに提供しますが、この compat ツリーでは、AD ユーザーは一定数の IdM サービスにしかアクセスできません。
レガシークライアントでは以下のサービスにアクセス できません。
- Kerberos 認証
- ホストベースのアクセス制御 (HBAC)
- SELinux ユーザーマッピング
sudo
ルール
レガシークライアントにおいても以下のサービスにはアクセスが 提供されます。
- 情報検索
- パスワード認証
5.7.1. レガシークライアントでの AD 信頼向けのサーバー側設定
IdM サーバーが以下の設定要件を満たすようにしてください。
- IdM 用の ipa-server パッケージと IdM 信頼アドオン用の ipa-server-trust-ad パッケージがインストール済みであること。
ipa-server-install
ユーティリティーを実行して IdM サーバーが設定されていること。ipa-adtrust-install --enable-compat
コマンドが実行済みで、IdM サーバーが AD ドメインとの信頼をサポートしており、compat LDAP ツリーが利用可能であること。これまでにipa-adtrust-install
を--enable-compat
オプションなしで実行している場合は、--enable-compat
オプションを追加して再度実行してください。ipa trust-add ad.example.org
コマンドを実行して AD 信頼が確立されていること。
ホストベースのアクセス制御 (HBAC) の
allow_all
ルールが無効になっている場合は、IdM サーバー上で system-auth
サーバーを有効にして AD ユーザーの認証を許可します。
allow_all
コマンドを使用すると、コマンドラインから ipa hbacrule-show
の現行ステータスを直接決定できます。このルールが無効になっている場合は、出力に Enabled: FALSE
が表示されます。
[user@server ~]$ kinit admin
[user@server ~]$ ipa hbacrule-show allow_all
Rule name: allow_all
User category: all
Host category: all
Service category: all
Description: Allow all users to access any host from any host
Enabled: FALSE
注記
HBAC ルールの有効化/無効化に関する情報は、Linux ドメイン ID、認証、およびポリシーガイド の 『Configuring Host-Based Access Control』 を参照してください。
IdM サーバー上で
system-auth
を有効にするには、system-auth
という名前の HBAC サービスを作成し、このサービスを使用して IdM マスターへのアクセスを付与する HBAC ルールを追加します。HBAC サービスおよびルールの追加については、Linux ドメイン ID、認証、およびポリシーガイド で説明しています。HBAC サービスは PAM サービス名であることに注意してください。新規 PAM サービスを追加する場合は、同一名の HBAC サービスを作成し、HBAC ルールでこのサービスへのアクセスを付与します。
5.7.2. ipa-advise
ユーティリティーを使用したクライアント側の設定
ipa-advise
ユーティリティーは、AD 信頼向けにレガシークライアントを設定する方法の指示を提供します。
ipa-advise
が設定指示を提供可能なすべてのシナリオを一覧表示するには、ipa-advise
をオプションなしで実行します。これで利用可能な全設定指示のセットの名前と各セットの実行内容、推奨される実行時期がプリントされます。
[root@server ~]# ipa-advise config-redhat-nss-ldap : Instructions for configuring a system with nss-ldap as a IPA client. This set of instructions is targeted for platforms that include the authconfig utility, which are all Red Hat based platforms. config-redhat-nss-pam-ldapd : Instructions for configuring a system (...)
特定セットの指示を表示するには、指示をパラメーターとして
ipa-advise
ユーティリティーを実行します。
[root@server ~]# ipa-advise config-redhat-nss-ldap #!/bin/sh # ---------------------------------------------------------------------- # Instructions for configuring a system with nss-ldap as a IPA client. # This set of instructions is targeted for platforms that include the # authconfig utility, which are all Red Hat based platforms. # ---------------------------------------------------------------------- # Schema Compatibility plugin has not been configured on this server. To # configure it, run "ipa-adtrust-install --enable-compat" # Install required packages via yum yum install -y wget openssl nss_ldap authconfig # NOTE: IPA certificate uses the SHA-256 hash function. SHA-256 was # introduced in RHEL5.2. Therefore, clients older than RHEL5.2 will not # be able to interoperate with IPA server 3.x. # Please note that this script assumes /etc/openldap/cacerts as the # default CA certificate location. If this value is different on your # system the script needs to be modified accordingly. # Download the CA certificate of the IPA server mkdir -p -m 755 /etc/openldap/cacerts wget http://idm.example.com/ipa/config/ca.crt -O /etc/openldap/cacerts/ca.crt (...)
ipa-advise
ユーティリティーを使用して Linux クライアントを設定するには、表示された指示をシェルスクリプトとして実行するか、指示を手動で実行します。
シェルスクリプトとして実行するには、以下の手順に従います。
- スクリプトファイルを作成します。
[root@server ~]# ipa-advise config-redhat-nss-ldap > setup_script.sh
chmod
ユーティリティーを使用して実行パーミッションをファイルに追加します。[root@server ~]# chmod +x setup_script.sh
scp
ユーティリティーを使用してスクリプトをクライアントにコピーします。[root@server ~]# scp setup_script.sh root@client
- クライアント上でスクリプトを実行します。
[root@client ~]# ./setup_script.sh
重要
クライアント上でスクリプトを実行する前に、必ずスクリプトファイルを読み、注意深く見なおしてください。
クライアントを手動で設定するには、
ipa-advise
で表示される指示をコマンドラインから実行します。
このページには機械翻訳が使用されている場合があります (詳細はこちら)。