第13章 Identity Management

IdM デプロイメントにおける DNS over TLS (DoT) がテクノロジープレビューとして利用可能になる

DNS over TLS (DoT) を使用した暗号化された DNS が、Identity Management (IdM) デプロイメントのテクノロジープレビューとして利用できるようになりました。DNS クライアントと IdM DNS サーバー間のすべての DNS クエリーと応答を暗号化できるようになりました。

SSSD での動的 DoT 更新のサポート

SSSD は、DNS-over-TLS (DoT) を使用してすべての動的 DNS (dyndns) クエリーを実行することをサポートするようになりました。IP アドレスが変更された際に、Identity Management (IdM) や Active Directory サーバーなどの DNS レコードを安全に更新できます。この機能を有効にするには、bind9.18-utils パッケージから nsupdate ツールをインストールする必要があります。

IdM 間の移行がテクノロジープレビューとして利用可能になる

RHEL 10 では、サポート対象外のテクノロジープレビュー機能として Red Hat が提供する新しい ipa-migrate ユーティリティーを使用して、SUDO ルール、HBAC、DNA 範囲、ホスト、サービスなど、すべての IdM 固有のデータを別の IdM サーバーに移行できます。これは、たとえば、IdM を開発環境またはステージング環境から実稼働環境に移行する場合や、2 つの実稼働サーバー間で IdM データを移行する場合に役立ちます。

ansible-freeipa が Ansible コレクション形式を使用するようになる

RHEL 10 では、ansible-freeipa rpm は freeipa.ansible_freeipa コレクションのみをインストールします。

HSM は IdM で完全にサポートされるようになる

Hardware Security Modules (HSM) が、Identity Management (IdM) で完全にサポートされるようになりました。IdM 認証局 (CA) および Key Recovery Authority (KRA) のキーペアと証明書を HSM に保存できます。これにより、秘密鍵マテリアルに物理的なセキュリティーが追加されます。

期限切れの証明書の自動削除がデフォルトで有効化される

RHEL 10 では、IdM の新しいレプリカで、期限切れの証明書の自動削除がデフォルトで有効になります。このための前提条件は、RSNv3 を使用して証明書のランダムなシリアル番号を生成することです。これもデフォルトで有効化されるようになりました。

IdM で DNSSEC が正しく動作しない

RHEL 10 の IdM では、DNS Security Extensions (DNSSEC) が正しく機能しません。これは、openssl-pkcs11 OpenSSL エンジンを pkcs11-provider OpenSSL プロバイダーに置き換えたことで生じた複数の未解決の問題によるものです。

pam_console モジュールが削除される

pam_console モジュールは RHEL 10 から削除されました。pam_console モジュールは、物理コンソールまたはターミナルにログインしたユーザーにファイル権限と認証機能を付与し、コンソールのログインステータスとユーザーの存在に基づいてこれらの権限を調整していました。pam_console の代わりに、systemd-logind システムサービスを使用できます。設定の詳細は、logind.conf(5) の man ページを参照してください。

libsss_simpleifp サブパッケージが削除される

libsss_simpleifp.so ライブラリーを提供する libsss_simpleifp サブパッケージは、RHEL 9 で非推奨になりました。libsss_simpleifp サブパッケージは RHEL 10 で削除されました。

AD および IdM プロバイダーの enumeration 機能が削除される

AD および IdM プロバイダーの getent passwd/group を使用してすべてのユーザーまたはグループをリスト表示できるようにする enumeration 機能のサポートは、Red Hat Enterprise Linux (RHEL) 9 で非推奨となりました。RHEL 10 では enumeration 機能が削除されました。

NIS サーバーエミュレーターが削除される

RHEL IdM は NIS 機能を提供しなくなりました。

RSA PKINIT メソッドが削除される

秘密鍵ベースの RSA 方式は、MIT Kerberos ではサポートされなくなりました。これは、セキュリティー上の理由、特に Marvin 攻撃に対する脆弱性のため削除されました。その結果、kinit コマンドの -X flag_RSA_PROTOCOL パラメーターは効果がなくなります。デフォルトの PKINIT メカニズムとして、Diffie-Hellman 鍵合意方式が使用されます。

389-ds-base パッケージによって作成されるものが LMDB インスタンスだけになる

以前は、Directory Server は Berkeley Database (BDB) を使用してインスタンスを作成していました。ただし、389-ds-base で使用される BDB バージョンを実装する libdb ライブラリーは、RHEL 10 では利用できなくなりました。

authselect は PAM で必須となり、アンインストールできない

RHEL 10 では、authselect-libs パッケージが /etc/nsswitch.conf と、一部の PAM 設定 (/etc/pam.d/ 内の system-auth、password-auth、smartcard-auth、fingerprint-auth、postlogin など) を所有するようになりました。これらのファイルの所有権は、authselect-libs パッケージに移行されました。以前は、/etc/nsswitch.conf は glibc パッケージが所有し、PAM 設定ファイルは pam パッケージが所有していました。authselect は pam パッケージに必要なので、アンインストールできません。

SSSD ファイルプロバイダーが削除される

SSSD ファイルプロバイダーは RHEL 10.0 から削除されました。以前は、SSSD ファイルプロバイダーが、ローカルユーザーのスマートカード認証とセッション記録を行っていました。代わりに、SSSD プロキシープロバイダーを設定できます。

Local プロファイルが新しいデフォルトの authselect プロファイルとなる

RHEL 10.0 で SSSD ファイルプロバイダーが削除されたため、SSSD に依存せずにローカルユーザー管理を処理するための新しい authselect local プロファイルが導入されました。local プロファイルは以前の minimal プロファイルを置き換え、sssd プロファイルの代わりに、新しいインストールのデフォルトの authselect プロファイルになります。

dnssec-enable: no; オプションが削除される

/etc/named/ipa-options-ext.conf ファイルの dnssec-enable: no; オプションは RHEL 10.0 で削除されました。DNS Security Extensions (DNSSEC) はデフォルトで有効化されており、無効化できません。dnssec-validation: no; オプションは引き続き利用可能です。

reconnection_retries オプションが削除される

RHEL 10.0 の SSSD の sssd.conf ファイルから reconnection_retries オプションが削除されました。SSSD は SSSD プロセス間の内部 IPC を使用する新しいアーキテクチャーに切り替えられ、レスポンダーはバックエンドに接続しなくなったため、reconnection_retries オプションは使用されなくなりました。