7.2. 信頼コントローラーおよび信頼エージェント

Identity Management (IdM) には、Active Directory (AD) への信頼をサポートする、以下のタイプの IdM サーバーがあります。

信頼コントローラー

AD ドメインコントローラーで ID 検索が実行可能な IdM サーバーまた、Samba スイートも実行するため、AD との信頼を確立できます。AD ドメインコントローラーは、AD への信頼を確立して検証する際に信頼コントローラーに問い合わせます。AD に登録したマシンは、Kerberos 認証要求で IdM 信頼コントローラーと通信します。

信頼を設定すると、最初の信頼コントローラーが作成されます。地理的に異なる場所に複数のドメインコントローラーがある場合は、ipa-adtrust-install コマンドを使用して、RHEL IdM サーバーを、その場所で信頼コントローラーとして指定します。

信頼コントローラーは、信頼エージェントと比較すると、ネットワーク向けサービスを多く実行するため、侵入者が攻撃できる範囲が大きくなります。

信頼エージェント
AD ドメインコントローラーに対する RHEL IdM クライアントからの ID 検索を解決できる IdM サーバー。信頼コントローラーとは異なり、信頼エージェントは Kerberos 認証要求を処理できません。

IdM ドメインには、信頼エージェントと信頼コントローラーだけでなく、標準の IdM サーバーも追加できます。ただし、このサーバーは AD と通信しません。したがって、これらの標準サーバーと通信するクライアントは、AD ユーザーとグループを解決したり、AD ユーザーを認証および承認したりすることはできません。

注記

以下のアクションのいずれかが実行されない限り、IdM サーバーは Trust Controller または Trust Agent ロールを操作するように設定されません。

  • --setup-ad オプションを指定した ipa-server-install または ipa-replica-install コマンドでサーバーまたはレプリカをインストールした。
  • IdM サーバーで ipa-adtrust-install コマンドを実行して、Trust Controller ロールを設定しました。
  • Trust Controller で ipa-adtrust-install --add-agents コマンドを実行して、別の IdM レプリカを Trust Agent に指定しました。
    デフォルトでは、IdM サーバーは、これらの操作を行わないと、信頼されたドメインからユーザーおよびグループを解決できません。

表7.1 信頼コントローラーおよび信頼エージェントが提供する機能の比較

機能信頼エージェント信頼コントローラー

AD ユーザーおよびグループを解決する

IdM クライアントを登録して、信頼されている AD フォレストのユーザーがアクセスできるサービスの実行

信頼アグリーメントの追加、変更、または削除

No

トラストエージェントロールを IdM サーバーに割り当てます。

No

信頼コントローラーと信頼エージェントのデプロイメントを計画する時に、以下のガイドラインを考慮してください。

  • IdM のデプロイメントごとに、信頼コントローラーを少なくとも 2 台設定する。
  • 各データセンターごとに、信頼コントローラーを少なくとも 2 台設定する。

追加の信頼コントローラーを作成する場合や、既存の信頼コントローラーが失敗した場合には、信頼エージェントまたは標準サーバーを昇格して、信頼コントローラーを新規作成してください。これには、IdM サーバーの ipa-adtrust-install ユーティリティーを使用してください。

重要

既存の信頼コントローラーを信頼エージェントにダウングレードすることはできません。