4.3. Kerberos を使用するための NFS サーバーおよびクライアントの設定

Kerberos はネットワーク認証システムであり、対称暗号化と、信頼できるサードパーティー (KDC) を使用してクライアントとサーバーが相互に認証できるようにします。Red Hat では、Kerberos の設定に Identity Management (IdM) を使用することを推奨しています。

前提条件

  • Kerberos Key Distribution Centre (KDC) がインストールされ、設定されている。

手順

    • NFS サーバー側で、nfs/hostname.domain@REALM プリンシパルを作成します。
    • サーバーおよびクライアントの両方で、host/hostname.domain@REALM を作成します。
    • クライアントとサーバーの各キータブに該当する鍵を追加します。

  2. サーバー側で sec= オプションを使用して、希望するセキュリティーフレーバーを有効にします。すべてのセキュリティーフレーバーと非暗号化マウントを有効にするには、以下のコマンドを実行します。 

    /export *(sec=sys:krb5:krb5i:krb5p)

    sec= オプションを使用するのに有効なセキュリティーフレーバーは、以下のようになります。

    • sys - 暗号化の保護なし (デフォルト)
    • krb5 - 認証のみ
    • krb5i - インテグリティー保護
    • krb5p - プライバシー保護

  3. クライアント側で、sec=krb5 (もしくは設定に応じて sec=krb5i または sec=krb5p) をマウントオプションに追加します。 

    # mount -o sec=krb5 server:/export /mnt

関連情報

  • Kerberos で保護された NFS 共有で root としてファイルを作成し、このファイルの root 所有権を維持する必要がある場合は、「Creating files as root on krb5-secured NFS」を参照してください。この設定は推奨されません。
  • NFS 設定の詳細は、man ページの exports(5) および nfs(5) を参照してください。
  • gssproxy と rpc.gssd の相互運用方法など、RPCSEC_GSS フレームワークの詳細は、「GSSD flow description」 を参照してください。