この手順では、kinit ユーティリティーを使用して、Identity Management (IdM) 環境を手動で認証する方法を説明します。kinit ユーティリティーは、IdM ユーザーの代わりに Kerberos の TGT (Ticket-Granting Ticket) を取得して、キャッシュに格納します。

手順

本セクションでは、ユーザーのアクティブな Kerberos チケットが含まれている認証情報キャッシュを削除する方法を説明します。

手順

本セクションでは、Identity Management (IdM) ユーザーが自身の Kerberos 認証情報を使用して、外部システムから IdM にログインするように外部システムを設定する方法を説明します。

外部システムの Kerberos 認証を有効にすることは、インフラストラクチャーに、複数のレルムまたは重複ドメインが含まれている場合に特に便利です。また、ipa-client-install を実行してシステムを IdM ドメインに登録していない場合にも便利です。

IdM ドメインのメンバーではないシステムから IdM への Kerberos 認証を有効にするには、外部システムに IdM 固有の Kerberos 設定ファイルを定義します。

前提条件

手順

外部システムのユーザーが、kinit ユーティリティーを使用して IdM サーバーで認証できるようになりました。

関連資料

ipactl ユーティリティーを使用して、IdM サーバー全体と、インストールしたサービスをすべて停止、起動 (開始)、または再起動 (再開) します。ipactl ユーティリティーを使用して、すべてのサービスを適切な順番で停止、開始、または再開します。有効な Kerberos チケットがなくても、ipactl コマンドは実行できます。

ipactl コマンド

IdM サーバー全体を起動するには、次のコマンドを実行します。

# ipactl start

IdM サーバー全体を停止するには、次のコマンドを実行します。

# ipactl stop

IdM サーバー全体を再起動するには、次のコマンドを実行します。

# ipactl restart

IdM を構成するすべてのサービスのステータスを表示するには、次のコマンドを実行します。

# ipactl status

IdM 設定ファイルを手動で変更することは推奨されていませんが、特定の状況では、管理者が特定のサービスを手動で設定する必要があります。このような場合は、systemctl ユーティリティーを使用して、個々の IdM サービスを停止、開始、または再開できます。

たとえば、その他の IdM サービスを変更せずに、Directory Server の挙動をカスタマイズした場合は、systemctl を使用します。

# systemctl restart dirsrv@REALM-NAME.service

また、Active Directory と IdM の信頼を最初にデプロイする場合は、/etc/sssd/sssd.conf ファイルを変更して、以下を追加します。

/etc/sssd/sssd.conf ファイルに加えた変更を適用するには、次のコマンドを実行します。

# systemctl restart sssd.service

System Security Services Daemon (SSSD) は、設定を自動的に再読み込みまたは再適用しないため、systemctl restart sssd.service を実行する必要があります。

変更が、IdM の ID 範囲に影響を及ぼす場合は、サーバーを完全に再起動することが推奨されます。

便利な systemctl コマンド

特定の IdM サービスを開始するには、次のコマンドを実行します。

# systemctl start name.service

特定の IdM サービスを停止するには、次のコマンドを実行します。

# systemctl stop name.service

特定の IdM サービスを再開するには、次のコマンドを実行します。

# systemctl restart name.service

特定の IdM サービスのステータスを表示するには、次のコマンドを実行します。

# systemctl status name.service

ipa スクリプトは、Identity Management に対する基本的なコマンドラインスクリプトです。このスクリプトは、新しいユーザーを追加する ipa user-add コマンドなど、Identity Management の管理に使用する多数のサブコマンドの親スクリプトです。

$ ipa user-add user_name

ipa スクリプトは、サブコマンドの特定セット (topic) に関するヘルプを表示できます。利用可能なトピックの一覧を表示するには、ipa help topics コマンドを使用します。

$ ipa help topics

automember         Auto Membership Rule.
automount          Automount
caacl              Manage CA ACL rules.
...

特定のトピックに関するヘルプを表示するには、ipa help topic_name コマンドを使用します。

$ ipa help automember

Auto Membership Rule.

Bring clarity to the membership of hosts and users by configuring inclusive
or exclusive regex patterns, you can automatically assign a new entries into
a group or hostgroup based upon attribute information.

...

EXAMPLES:

 Add the initial group or hostgroup:
   ipa hostgroup-add --desc="Web Servers" webservers
   ipa group-add --desc="Developers" devel
...

利用可能な ipa コマンドの一覧を表示するには、ipa help commands コマンドを使用します。

$ ipa help commands
automember-add                         Add an automember rule.
automember-add-condition               Add conditions to an automember rule.
...

特定の ipa コマンドの詳細なヘルプは、--help オプションを使用します。

$ ipa automember-add --help

Usage: ipa [global-options] automember-add AUTOMEMBER-RULE [options]

Add an automember rule.
Options:
  -h, --help            show this help message and exit
  --desc=STR            A description of this auto member rule
...

関連資料

未定: これは全リストではなく、最も一般的な一部 (7 か 8 ) のコマンドです。理想としては、このコマンドの使用法を説明したアセンブリーへのリンクがあります。

Identity Management は、複値属性の値をリスト形式で保存します。以下は例になります。

ipaUserSearchFields: uid,givenname,sn,telephonenumber,ou,title

このような多値属性をコマンド行から更新すると、Identity Management は、前の値リストを新しいリストで完全に上書きします。したがって、多値属性を更新するときは、追加する 1 つの新しい値だけでなく、新しいリスト全体を指定する必要があります。

Identity Management は、多値リストを提供する次の方法をサポートします。

特殊文字を含むコマンドライン引数を ipa コマンドに渡す場合は、この文字をバックスラッシュ (\) でエスケープします。たとえば、一般的な特殊文字には、山かっこ (< および >)、アンパサンド (&)、アスタリスク (*)、または垂直バー (|) があります。

たとえば、アスタリスク (*) をエスケープするには、次のようにします。

$ ipa certprofile-show certificate_profile --out=exported\*profile.cfg

シェルが特殊文字を正しく解析できないため、コマンドにエスケープされていない特殊文字を含めると、予想通りに機能しなくなります。

ipa *-find コマンドを使用して、特定のタイプの Identity Management エントリーを検索します。以下に例を示します。

ユーザーグループの検索の際には、特定のユーザーを含むグループに検索結果を絞り込むことも可能です。

$ ipa group-find --user=user_name

また、特定のユーザーを含まないグループを検索するには、以下を実行します。

$ ipa group-find --no-user=user_name

ipa *-show コマンドを使用して、固有の Identity Management エントリーの詳細を表示します。たとえば、server.example.com という名前のホストに関する詳細を表示します。

$ ipa host-show server.example.com
 Host name: server.example.com
 Principal name: host/server.example.com@EXAMPLE.COM
 ...

ユーザーの一覧表示など、検索結果によっては、エントリー数が大量に返される場合があります。この検索操作を調整して、ipa user-find などの ipa *-find コマンドの実行時や、Web UI で適切な一覧を表示する際に、全体的なサーバーのパフォーマンスを向上できます。

これらの値が -1 に設定されている場合、Identity Management は検索時に制限を適用しません。

手順: Web UI

全クエリーに対して、グローバルに制限を調節するには、以下を実行します。

手順: コマンドライン

全クエリーに対してグローバルに制限を調整するには、ipa config-mod コマンドを使用して、--searchrecordslimit オプションおよび --searchtimelimit オプションを追加します。以下に例を示します。

$ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

特定のクエリーに対してのみ制限を調整するには、コマンドに --sizelimit オプションまたは --timelimit オプションを追加します。以下に例を示します。

$ ipa user-find --sizelimit=200 --timelimit=120

IdM (Identity Management) Web UI は、IdM コマンドラインツールのグラフィカルな代替手段である、IdM 管理用の Web アプリケーションです。

IdM Web UI には、以下のユーザーとしてアクセスできます。

IdM (Identity Management) では、以下のブラウザーを使用して、Web UI に接続できます。

次の手順では、パスワードを使用して、IdM (Identity Management) Web UI に最初にログインする方法を説明します。

最初のログイン後に、IdM サーバーを認証するように設定できます。

手順

ログインに成功したら、IdM サーバーの設定を開始できます。

関連資料

認証は、次の方法でも可能です。

Identity Management (IdM) は、シングルサインオンに対応する Kerberos プロトコルを使用します。シングルサインオン認証により、ユーザーが正しいユーザー名およびパスワードを一度入力すれば、システムに認証情報を求められることなく、Identity Management サービスにアクセスできます。

DNS および証明書の設定が適切に設定されている場合は、インストール直後に、IdM サーバーが Kerberos 認証を提供します。詳細は『Installing Identity Management』を参照してください。

ホストで Kerberos 認証を使用するには、以下をインストールします。

この手順では、kinit ユーティリティーを使用して、Identity Management (IdM) 環境を手動で認証する方法を説明します。kinit ユーティリティーは、IdM ユーザーの代わりに Kerberos の TGT (Ticket-Granting Ticket) を取得して、キャッシュに格納します。

手順

Kerberos チケットによる認証を有効にするには、ブラウザーの設定が必要になることもあります。

以下の手順は、IdM ドメインにアクセスする Kerberos ネゴシエーションに対応するのに役に立ちます。

各ブラウザーは異なる方法で Kerberos をサポートしており、異なる設定が必要です。IdM Web UI には、次のブラウザーに関するガイドラインが含まれています。

手順

設定が完了したら、IdM Web UI に戻り、ログイン をクリックします。

この手順では、Kerberos の TGT (ticket-granting ticket) を使用して、IdM Web UI にログインする方法を説明します。

TGT は、事前定義された時間に有効期限が切れます。デフォルトの時間間隔は 24 時間で、IdM Web UI でそれを変更できます。

期限が切れたら、チケットを更新する必要があります。

手順

本セクションでは、Identity Management (IdM) ユーザーが自身の Kerberos 認証情報を使用して、外部システムから IdM にログインするように外部システムを設定する方法を説明します。

外部システムの Kerberos 認証を有効にすることは、インフラストラクチャーに、複数のレルムまたは重複ドメインが含まれている場合に特に便利です。また、ipa-client-install を実行してシステムを IdM ドメインに登録していない場合にも便利です。

IdM ドメインのメンバーではないシステムから IdM への Kerberos 認証を有効にするには、外部システムに IdM 固有の Kerberos 設定ファイルを定義します。

前提条件

手順

外部システムのユーザーが、kinit ユーティリティーを使用して IdM サーバーで認証できるようになりました。

Active Directory ユーザーに対して Web UI ログインを有効にするには、デフォルトの信頼ビューで、Active Directory の各ユーザーに対して ID のオーバーライドを定義します。以下に例を示します。

[admin@server ~]$ ipa idoverrideuser-add 'Default Trust View' ad_user@ad.example.com

関連資料

ワンタイムパスワードにより、認証セキュリティーに関するステップが追加されます。認証では、自分のパスワード、および自動生成されたワンタイムパスワードが使用されます。

ワンタイムパスワードを生成するには、ハードウェアまたはソフトウェアのトークンを使用できます。IdM は、ソフトウェアトークンとハードウェアトークンの両方をサポートします。

Identity Management には、以下にある、2 つの標準 OTP メカニズムをサポートしています。

IdM Web UI を使用すると、ワンタイムパスワードを生成できるように、ハードウェアデバイスまたはソフトウェアデバイスを設定できます。

ワンタイムパスワードは、ログインダイアログの専用フィールドで、通常のパスワードの直後に入力されます。

ユーザー設定で、OTP 認証を有効にできるのは管理者だけです。

前提条件

手順

この時点で、OTP 認証は IdM サーバーで有効になります。

新しいトークン ID をユーザーアカウントに割り当てて、ハードウェアトークンまたは FreeOTP を設定します。

次のセクションは、IdM Web UI およびソフトウェアトークンジェネレーターに、トークンを追加するのに役立ちます。

前提条件

手順

これで、ワンタイムパスワードを生成して、IdM Web UI にログインできます。

この手順では、ワンタイムパスワード (OTP) を使用した IdM Web UI への最初のログインを説明します。

前提条件

手順

ログインが成功すると、IdM Web UI が表示されます。

OTP (ワンタイムパスワード) でのログインに失敗した場合、OTP トークンは正しく同期しません。

以下のテキストは、トークンの再同期を説明します。

前提条件

手順

同期に成功したら、IdM サーバーにログインできます。

Identity Management の管理者は、ユーザが次回ログインする時にパスワードの変更を強制できます。パスワードを変更しないと IdM Web UI にログインできないことを意味します。

パスワードの有効期限は、Web UI に初めてログインしたときに発生する可能性があります。

有効期限パスワードのダイアログが表示されたら、手順の指示に従ってください。

前提条件

手順

パスワード変更が成功すると、通常のログインダイアログが表示されます。新しいパスワードでログインします。

認証局は信頼の階層で機能します。内部認証局 (CA) がある IdM 環境では、CA が署名しているすべての証明書を、すべての IdM ホスト、ユーザー、およびサービスが信頼します。このルート CA とは別に、IdM は、ルート CA から証明書に署名する権限を付与されたサブ CA にも対応します。多くの場合、そのようなサブ CA が署名できる証明書は、特定の種類の証明書 (たとえば VPN 証明書) です。

証明書の観点からは、自己署名 IdM CA と、外部署名の間に違いがありません。

CA のロールは次のとおりです。

Kerberos は、安全ではないネットワークを介して通信するノードが、安全な方法で互いに ID を証明できるように、チケットに基づいて作用するコンピューターネットワーク認証プロトコルです。

デフォルトでは、Identity Management の Kerberos は、通信相手の ID のみを保証します。

IdM でユーザーを認証する証明書を使用する利点は次のとおりです。

IdM のユーザーを認証する証明書を使用する問題点は次のとおりです。

Identity Management (IdM) 管理者は、ユーザーが、証明書を使用して IdM 環境で認証できるように設定できます。

手順

Identity Management 管理者が、以下を行います。

Identity Management (IdM) 管理者として、IdM 環境でユーザーの証明書を作成し、作成した証明書を、ユーザーの証明書認証を有効にする IdM クライアントにエクスポートできます。

手順

証明書が機能するには、証明書が、それを使用して Identity Management (IdM) に認証を受けるユーザーにリンクされていることを確認する必要があります。

Identity Management の Web UI で証明書認証を機能させるには、証明書認証を有効にするホストで実行している Mozilla Firefox または Google Chrome のブラウザーに、ユーザー証明書および認証局 (CA) 証明書をインポートする必要があります。ホストが IdM ドメインに含まれている必要はありません。

Identity Management では、以下のブラウザーを使用して、Web UI に接続できます。

次の手順は、Mozilla Firefox 57.0.1 ブラウザーを設定する方法を説明します。

手順

次の手順では、Identity Management クライアントのデスクトップに保存されている証明書を使用して、ユーザーが Identity Management (IdM) の Web UI を認証する方法を説明します。

手順

証明書に対応するユーザーとして認証されました。

関連資料

IdM クライアントのコマンドラインインターフェース (CLI) で、IdM ユーザーに対して証明書認証を有効にするには、IdM ユーザーの証明書および秘密鍵を IdM クライアントにインポートします。ユーザー証明書の作成および転送の詳細は「新しいユーザー証明書を要求し、クライアントにエクスポート」を参照してください。

手順

IdM クライアントにログインし、ユーザーの証明書と秘密鍵を含む .p12 ファイルを用意します。Kerberos TGT (Ticket Granting Ticket) ファイルを取得してキャッシュを取得するには、-X オプションに値 X509_username:/path/to/file.p12 を使用し、ユーザーのプリンシパルで kinit コマンドを実行して、ユーザーの X509 識別情報の場所を指定します。たとえば、~/idm_user.p12 ファイルに保存されている識別情報を使用して idm_user の TGT を取得するには、次のコマンドを実行します。

$ kinit -X X509_idm_user='PKCS12:~/idm_user.p12' idm_user

Red Hat Enterprise Linux (RHEL) 7 では、System Security Services Daemon (SSSD) で外部グループメンバーシップを使用して、AD ユーザーとグループが POSIX 環境の IdM リソースに アクセスするのを許可します。

IdM LDAP サーバーには、アクセスコントロールを付与する独自のメカニズムがあります。RHEL 8 には、AD ユーザーに対する ID ユーザーのオーバーライドを IdM グループのメンバーとして追加する更新が導入されました。ID オーバーライドは、特定の Active Directory ユーザーまたはグループのプロパティーが特定の ID ビュー (この場合は Default Trust View) 内でどのように見えるかを記述するレコードです。この更新により、IdM LDAP サーバーは、IdM グループのアクセス制御ルールを AD ユーザーに適用できます。

AD ユーザーは、IdM UI のセルフサービス機能 (SSH キーのアップロード、個人のデータの変更など) を使用できるようになりました。AD 管理者は、異なるアカウントおよびパスワードを 2 つ使用しなくても、IdM を完全に管理できるようになります。

前提条件

手順

この手順では、Active Directory (AD) ユーザーの ID オーバーライドを作成して使用し、Identity Management (IdM) ユーザーと同じ権限を付与する方法を説明します。この手順は、信頼コントローラーまたは信頼エージェントとして設定した IdM サーバーで行ってください。信頼サーバーおよび信頼エージェントの詳細は『Planning Identity Management』の「Trust controllers and trust agents」を参照してください。

Active Directory ユーザーが Identity Management CLI にログインし、自分のロールに適したコマンドを実行できることを確認します。