Red Hat Training

A Red Hat training course is available for RHEL 8

第4章 IdM サーバーのインストール: 統合 DNS があり外部 CA がない場合

統合 DNS のある新しい Identity Management (IdM) サーバーをインストールすると、次のような利点があります。

  • ネイティブの IdM ツールを使用すると、メンテナンスおよび DNS レコードの管理のほとんどを自動化できます。たとえば、DNS SRV レコードは、セットアップ中に自動的に作成され、その後は自動的に更新されます。
  • IdM サーバーのインストール時にグローバルフォワーダーを設定すると、インターネットとの安定した接続を確立できます。グローバルフォワーダーは、Active Directory との信頼関係にも便利です。
  • IdM ドメインからのメールが、IdM ドメイン外のメールサーバーによってスパムと見なされないように、DNS 逆ゾーンを設定できます。

統合 DNS のある IdM のインストールにはいくつかの制限があります。

  • IdM DNS は、一般用途の DNS サーバーとして使用することは想定されていません。高度な DNS 機能の一部はサポートされていません。

本章では、認証局 (CA) がない場合に新しい IdMt サーバーをインストールする方法を説明します。

4.1. CA なしで IdM サーバーをインストールするために必要な証明書

ここでは、以下について記述します。

  • 認証局 (CA) なしで Identity Management (IdM) サーバーをインストールするために必要な証明書
  • それらの証明書を ipa-server-install ユーティリティーに提供するのに使用されるコマンドラインオプション
重要

インポートした証明書ファイルには、LDAP サーバーおよび Apache サーバーの証明書を発行した CA の完全な証明書チェーンが含まれている必要があるため、自己署名のサードパーティーサーバー証明書を使用してサーバーまたはレプリカをインストールすることはできません。

LDAP サーバー証明書および秘密鍵
  • --dirsrv-cert-file - LDAP サーバー証明書の証明書ファイルおよび秘密鍵ファイルを提供します。
  • --dirsrv-pin - --dirsrv-cert-file に指定されたファイルにある秘密鍵にアクセスするパスワードを提供します。
Apache サーバー証明書および秘密鍵
  • --http-cert-file - Apache サーバー証明書の証明書および秘密鍵ファイルを提供します。
  • --http-pin - --http-cert-file に指定したファイルにある秘密鍵にアクセスするパスワードを提供します。
LDAP および Apache のサーバー証明書を発行した CA の完全な CA 証明書チェーン
  • --dirsrv-cert-file および --http-cert-file - 完全な CA 証明書チェーンまたはその一部が含まれる証明書ファイルを提供します。

以下の形式の --dirsrv-cert-file オプションおよび --http-cert-file オプションを指定して、ファイルを指定できます。

  • PEM (Privacy-Enhanced Mail) がエンコードした証明書 (RFC 7468)。Identity Management インストーラーは、連結した PEM エンコードオブジェクトを受け付けることに注意してください。
  • 識別名エンコーディングルール (DER)
  • PKCS #7 証明書チェーンオブジェクト
  • PKCS #8 秘密鍵オブジェクト
  • PKCS #12 アーカイブ

--dirsrv-cert-file オプションおよび --http-cert-file オプションを複数回指定して、複数のファイルを指定できます。

完全な CA 証明書チェーンを提供する証明書ファイル (一部の環境では必要ありません)
  • --ca-cert-file - LDAP、Apache Server、および Kerberos KDC の証明書を発行した CA の CA 証明書が含まれるファイル。このオプションは、他のオプションにより提供される証明書ファイルに CA 証明書が存在しない場合に使用します。

--ca-cert-file を使用して提供されるファイルと、--dirsrv-cert-file--http-cert-file を使用して提供されるファイルには、LDAP および Apache のサーバー証明書を発行した CA の完全 CA 証明書チェーンが含まれる必要があります。

Kerberos 鍵配布センター (KDC) の PKINIT 証明書および秘密鍵 (任意)
  • --pkinit-cert-file - Kerberos KDC SSL の証明書および秘密鍵を提供します。
  • --pkinit-pin - --pkinit-cert-file に指定されたファイルにある Kerberos KDC の秘密鍵にアクセスするパスワードを提供します。
  • --no-pkinit - pkinit 設定手順を無効にします。

PKINIT 証明書を提供しないと、ipa-server-install は自己署名証明書を使用するローカル KDC で IdM サーバーを設定します。

関連情報

  • このオプションで使用できる証明書ファイル形式に関する詳細は、man ページの ipa-server-install(1) を参照してください。
  • RHEL IdM PKINIT 証明書を作成するために必要な PKINIT 拡張機能の詳細は、RHEL IdM PKINIT KDC certificate and extensions を参照してください。