第5章 Managed Service Account を使用した AD へのアクセス

Active Directory (AD) Managed Service Accounts (MSA) を使用すると、特定のコンピューターに対応するアカウントを AD で作成できます。MSA を使用すると、RHEL ホストを AD ドメインに参加させずに、AD リソースに特定のユーザープリンシパルとして接続できます。

このセクションでは、以下のトピックについて説明します。

5.1. Managed Service Account の利点

RHEL ホストが Active Directory (AD) ドメインに参加せずにこれにアクセスできるようにする場合は、Managed Service Account (MSA) を使用してそのドメインにアクセスできます。MSA は、特定のコンピューターに対応する AD のアカウントです。これを使用すると、特定のユーザープリンシパルとして AD リソースに接続できます。

たとえば、AD ドメイン production.example.com が、lab.example.com AD ドメインと一方向の信頼関係を持つ場合は、以下の条件が適用されます。

  • lab ドメインは、production ドメインのユーザーとホストを信頼します。
  • production ドメインは、lab ドメインのユーザーとホストを 信頼しません。

つまり、client.lab.example.com などの lab ドメインに参加しているホストは、信頼を介して production ドメインからリソースにアクセスできないことを意味します。

client.lab.example.com ホストの例外を作成する場合は、adcli ユーティリティーを使用して、production.example.com ドメイン内の client ホストの MSA を作成できます。MSA の Kerberos プリンシパルを使用して認証することにより、client ホストから production ドメインで安全な LDAP 検索を実行できます。