第9章 IdM で標準 DNS ホスト名の使用

DNS 正規化は、潜在的なセキュリティーリスクを回避するために、Identity Management (IdM) クライアントでデフォルトで無効になっています。たとえば、攻撃者がドメイン内の DNS サーバーとホストを制御すると、攻撃者は demo などの短いホスト名が発生し、malicious .example.com などの危険にさらされたホストに解決される可能性があります。この場合、ユーザーは想定とは異なるサーバーに接続します。

本セクションでは、IdM クライアントで正規化されたホスト名を使用する方法を説明します。

9.1. ホストプリンシパルへのエイリアスの追加

デフォルトでは、ipa-client-install コマンドを使用して登録した Identity Management (IdM) クライアントでは、サービスプリンシパルで短縮ホスト名を使用することができません。たとえば、ユーザーがサービスにアクセスするときに、host/demo@EXAMPLE.COMではなく、host/demo.example.com@EXAMPLE.COM のみを使用できます。

本セクションでは、Kerberos プリンシパルにエイリアスを追加する方法を説明します。または、/etc/krb5.conf ファイルでホスト名の正規化を有効にできます。詳細は、「クライアントのサービスプリンシパルでのホスト名の正規化の有効化」 を参照してください。

前提条件

  • IdM クライアントがインストールされている。
  • ホスト名が、ネットワーク内で一意の名前である。

手順

  1. admin ユーザーとして、IdM に対して認証します。

    $ kinit admin
  2. エイリアスをホストプリンシパルに追加します。たとえば、demo エイリアスを、demo.examle.com ホストプリンシパルに追加するには、次のコマンドを実行します。

    $ ipa host-add-principal demo.example.com --principal=demo

9.2. クライアントのサービスプリンシパルでのホスト名の正規化の有効化

ここでは、クライアントのサービスプリンシパルでホスト名の正規化を有効にする方法を説明します。

「ホストプリンシパルへのエイリアスの追加」 で説明しているように、ホストプリンシパルのエイリアスを使用する場合は、正規化を有効にする必要はありません。

前提条件

  • Identity Management (IdM) クライアントがインストールされている。
  • root ユーザーとして IdM クライアントにログインしている。
  • ホスト名が、ネットワーク内で一意の名前である。

手順

  1. /etc/krb5.conf ファイルの [libdefaults] セクションで、dns_canonicalize_hostname パラメーターを false に設定します。

    [libdefaults]
    ...
    dns_canonicalize_hostname = true

9.3. DNS ホスト名の正規化を有効にしてホスト名を使用するためのオプション

「クライアントのサービスプリンシパルでのホスト名の正規化の有効化」 の説明にあるように、/etc/krb5.conf ファイルに dns_canonicalize_hostname = true を設定する場合は、サービスプリンシパルでホスト名を使用する際に以下のオプションを指定します。

  • Identity Management (IdM) 環境では、host/demo.example.com@EXAMPLE.COM などのサービスプリンシパルで完全なホスト名を使用できます。
  • IdM がない環境では、RHEL ホストを Active Directory (AD) ドメインのメンバーとする場合に、AD ドメインコントローラー (DC) が、AD に登録されているマシンの NetBIOS 名のサービスプリンシパルを自動的に作成するため、これ以上考慮が必要な事項はありません。