12.2.5. PoC 環境で IdM Web UI を使用して IdM ユーザーが IdM クライアントにリモートでアクセスできるようにする

手順

1. allow_remote_access ルールを作成してカスタマイズします。

   1. Policy > Host Based Access Control > HBAC Rules に移動し、Add をクリックします。ルールの名前として allow_remote_access を設定し、Add and Edit をクリックします。
   2. Who セクションで、Specified Users and Groups が選択されていることを確認し、Add をクリックします。ユーザー idmuser01 を選択し、> をクリックしてユーザーを Prospective 列に移動します。Add をクリックします。
   3. Accessing セクションで、Specified Hosts and Groups が選択されていることを確認し、Add をクリックします。client.idm.example.com マシンを選択し、> をクリックしてマシンを Prospective 列に移動します。Add をクリックします。
   4. Via Service セクションで、Specified Services and Groups が選択されていることを確認し、Add をクリックします。Available 列から ftp、sshd、および vsftpd サービスを選択し、> をクリックして Prospective 列に移動します。Add をクリックします。
   5. ウィンドウの上部にある HBAC Rules をクリックして、HBAC ルールリストに戻ります。

2. セキュリティー上の理由から、IdM ドメイン全体のすべての関連サービスを介してすべてのホストにアクセスできる権限を、IdM admins だけに付与するように allow_all ルールを変更します。

   1. Policy > Host Based Access Control > HBAC Rules に移動します。
   2. allow_all ルールをクリックします。
   3. Who セクションで、Specified Users and Groups が選択されていることを確認し、Add をクリックします。admins グループを選択し、> をクリックして Prospective 列に移動します。Add をクリックします。

検証

1. Policy > Host Based Access Control > HBAC Test に移動します。次の表のとおりにテストのパラメーターを選択します。

   Expand

   リスト	選択
   WHO	idmuser03
   ACCESSING	client.idm.example.com
   VIA SERVICE	sshd
   RULES	allow_remote_access

   Show more
2. Run Test タブで、Run Test をクリックしてシミュレーションを実行します。ユーザー idmuser03 は HBAC ルールのメンバーではないため、Run Test タブの右側のコンソールに ACCESS DENIED というメッセージが表示されます。

3. 次の表のとおりにテストのパラメーターを選択します。

   Expand

   リスト	選択
   WHO	idmuser01
   ACCESSING	client.idm.example.com
   VIA SERVICE	sshd
   RULES	allow_remote_access

   Show more
4. Run Test タブで、Run Test をクリックしてシミュレーションを実行します。ユーザー idmuser01 は HBAC ルールのメンバーであるため、Run Test タブの右側のコンソールに ACCESS GRANTED というメッセージが表示されます。

5. ターミナルを開き、ユーザー idmuser03 としてクライアントマシンにログインします。このユーザーはルールのメンバーではないため、接続が失敗します。

   $ ssh idmuser03@client

   Connection closed by 172.25.250.11 port 22

6. ユーザー idmuser01 としてクライアントマシンへのログインを試します。このユーザーはルールのメンバーであるため、接続が成功します。

   $ ssh idmuser01@client

   ...output omitted...
   [idmuser01@client /]$*