Linux ドメイン ID、認証、およびポリシーガイド

[root@server ~]# ip addr show
...
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
	link/ether 00:1a:4a:10:4e:33 brd ff:ff:ff:ff:ff:ff
	inet 192.0.2.1/24 brd 192.0.2.255 scope global dynamic eth0
		valid_lft 106694sec preferred_lft 106694sec
	inet6 2001:DB8::1111/32 scope global dynamic
 		valid_lft 2591521sec preferred_lft 604321sec
	inet6 fe80::56ee:75ff:fe2b:def6/64 scope link
	       valid_lft forever preferred_lft forever

1. firewall-cmd --add-port コマンドを使用して個別のポートをファイアウォールに追加します。たとえば、デフォルトゾーンでポートを開くには、次のコマンドを実行します。

   # firewall-cmd --permanent --add-port={80/tcp,443/tcp,list_of_ports}

2. firewall-cmd --add-service コマンドを使用して、firewalld サービスをファイアウォールに追加します。たとえば、デフォルトゾーンでポートを開くには、次のコマンドを実行します。

   # firewall-cmd --permanent --add-service={freeipa-ldap,list_of_services}

# firewall-cmd --reload

# firewall-cmd --runtime-to-permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp,123/udp}

# ipa-server-install --external-cert-file=/tmp/servercert20110601.pem --external-cert-file=/tmp/cacert.pem

1. お使いのシステムで DNS ゾーンと SRV レコードが正しく設定されていれば、スクリプトは必要な値をすべて自動的に検出して出力します。yes を入力して確定します。

   Client hostname: client.example.com
   Realm: EXAMPLE.COM
   DNS Domain: example.com
   IPA Server: server.example.com
   BaseDN: dc=example,dc=com
   
   Continue to configure the system with these values? [no]: yes

   別の値を使用してシステムをインストールする場合は、現在のインストールをキャンセルします。その後、ipa-client-install を再度実行し、コマンドラインオプションを使用して必要な値を指定します。
   詳細は、ipa-client-install(1) man ページの DNS Autodiscovery セクションを参照してください。
2. スクリプトが一部の設定を自動的に取得できなかった場合は、値を入力するように求められます。
   重要
   .company など、単一ラベルのドメイン名を使用しないでください。IdM ドメインは、トップレベルドメインと、1 つ以上のサブドメイン (example.com や company.example.com など) で設定する必要があります。

   完全修飾ドメイン名は、以下の条件を満たす必要があります。

   • 数字、アルファベット文字、およびハイフン (-) のみが使用される有効な DNS 名である。ホスト名でアンダーライン (_) を使用すると DNS が正常に動作しません。
   • すべてが小文字である。大文字は使用できません。
   • 完全修飾ドメイン名は、ループバックアドレスを解決できません。127.0.0.1 ではなく、マシンの公開 IP アドレスを解決する必要があります。

   その他の推奨命名プラクティスは『Red Hat Enterprise Linux Security Guide』のRecommended Naming Practicesを参照してください。

User authorized to enroll computers: admin
Password for admin@EXAMPLE.COM

Client configuration complete.

$ kinit admin

$ ipa host-add client.example.com --password=secret

# ipa-client-install --force-join

User authorized to enroll computers: admin
Password for admin@EXAMPLE.COM

# ipa-client-install --keytab /tmp/krb5.keytab

1. 管理者としてログインします。

   $ kinit admin

2. クライアントマシンを ipaservers ホストグループに追加します。

   $ ipa hostgroup-add-member ipaservers --hosts client.example.com
     Host-group: ipaservers
     Description: IPA server hosts
     Member hosts: server.example.com, client.example.com
   -------------------------
   Number of members added 1
   -------------------------

   ipaservers のメンバーシップは、マシンの権限を管理者の認証情報と同様の権限に昇格します。

# ipa-replica-install

1. 管理者としてログインします。

   $ kinit admin

2. 新しいマシンを IdM ホストとして追加します。ipa host-add コマンドに --random オプションを使用して、レプリカのインストールに使用される無作為なワンタイムパスワードを生成します。

   $ ipa host-add client.example.com --random
   --------------------------------------------------
   Added host "client.example.com"
   --------------------------------------------------
     Host name: client.example.com
     Random password: W5YpARl=7M.n
     Password: True
     Keytab: False
     Managed by: server.example.com

   生成されたパスワードは、IdM ドメインへのマシン登録に使用した後は無効になります。登録の完了後、このパスワードは適切なホストキータブに置き換えられます。
3. マシンを ipaservers のホストグループに追加します。

   $ ipa hostgroup-add-member ipaservers --hosts client.example.com
     Host-group: ipaservers
     Description: IPA server hosts
     Member hosts: server.example.com, client.example.com
   -------------------------
   Number of members added 1
   -------------------------

   ipaservers のメンバーは、必須サーバーサービスの設定に必要な特権にマシンを昇格します。

# ipa-replica-install --password 'W5YpARl=7M.n'

# ipa-replica-install --setup-dns --forwarder 192.0.2.1

1. DOMAIN 変数および NAMESERVER 変数に適切な値を設定します。

   # DOMAIN=example.com
   # NAMESERVER=replica

2. 以下のコマンドを使用して、DNS エントリーを確認します。

   # for i in _ldap._tcp _kerberos._tcp _kerberos._udp _kerberos-master._tcp _kerberos-master._udp _ntp._udp ; do
   dig @${NAMESERVER} ${i}.${DOMAIN} srv +nocmd +noquestion +nocomments +nostats +noaa +noadditional +noauthority
   done | egrep "^_"
   
   _ldap._tcp.example.com. 86400     IN    SRV     0 100 389 server1.example.com.
   _ldap._tcp.example.com. 86400     IN    SRV     0 100 389 server2.example.com.
   _kerberos._tcp.example.com. 86400 IN    SRV     0 100 88  server1.example.com.
   ...

[root@replica ~]# ipa-replica-install --setup-ca

[root@replica ~]# ipa-replica-install \
    --dirsrv-cert-file /tmp/server.crt \
    --dirsrv-cert-file /tmp/server.key \
    --dirsrv-pin secret \
    --http-cert-file /tmp/server.crt \
    --http-cert-file /tmp/server.key \
    --http-pin secret

# scp /etc/krb5.conf root@externalmachine.example.com:/etc/krb5_ipa.conf

$ export KRB5_CONFIG=/etc/krb5_ipa.conf

$ ipa topologysegment-add
Suffix name: domain
Left node: server1.example.com
Right node: server2.example.com
Segment name [server1.example.com-to-server2.example.com]: new_segment
---------------------------
Added segment "new_segment"
---------------------------
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

$ ipa topologysegment-show
Suffix name: domain
Segment name: new_segment
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

$ ipa topologysegment-find
Suffix name: domain
------------------
8 segments matched
------------------
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

...

----------------------------
Number of entries returned 8
----------------------------

$ ipa topologysegment-del
Suffix name: domain
Segment name: new_segment
-----------------------------
Deleted segment "new_segment"
-----------------------------

$ ipa topologysegment-find
Suffix name: domain
------------------
7 segments matched
------------------
  Segment name: server2.example.com-to-server3.example.com
  Left node: server2.example.com
  Right node: server3.example.com
  Connectivity: both

...

----------------------------
Number of entries returned 7
----------------------------

[user@server2 ~]$ ipa server-del
Server name: server1.example.com
Removing server1.example.com from replication topology, please wait...
----------------------------------------------------------
Deleted IPA server "server1.example.com"
----------------------------------------------------------

[root@server1 ~]# ipa server-install --uninstall

[root@rhel7 ~]# scp /usr/share/ipa/copy-schema-to-ca.py root@rhel6:/root/

[root@rhel6 ~]# python copy-schema-to-ca.py
ipa         : INFO     Installed /etc/dirsrv/slapd-PKI-IPA//schema/60kerberos.ldif
[... output truncated ...]
ipa         : INFO     Schema updated successfully

[root@rhel6 ~]# ipa-replica-prepare rhel7.example.com --ip-address 192.0.2.1

Directory Manager (existing master) password:
Preparing replica for rhel7.example.com from rhel6.example.com
[... output truncated ...]
The ipa-replica-prepare command was successful

[root@rhel6 ~]# scp /var/lib/ipa/replica-info-replica.example.com.gpg root@rhel7:/var/lib/ipa/

+ecdhe_rsa_aes_128_sha,+ecdhe_rsa_aes_256_sha

[root@rhel7 ~]# ipa-replica-install /var/lib/ipa/replica-info-rhel7.example.com.gpg --setup-ca --ip-address 192.0.2.1 --setup-dns --forwarder 192.0.2.20
Directory Manager (existing master) password:

Checking DNS forwarders, please wait ...
Run connection check to master
[... output truncated ...]
Client configuration complete.

[root@rhel7 ~]# ipactl status
Directory Service: RUNNING
[... output truncated ...]
ipa: INFO: The ipactl command was successful

[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "auditSigningCert cert-pki-ca"
Request "20201127184547" removed.
[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "ocspSigningCert cert-pki-ca"
Request "20201127184548" removed.
[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "subsystemCert cert-pki-ca"
Request "20201127184549" removed.
[root@rhel6 ~]# getcert stop-tracking -d /etc/httpd/alias -n ipaCert
Request "20201127184550" removed.

1. 更新ヘルパースクリプトを certmonger サービスディレクトリーにコピーし、適切なパーミッションを設定します。

   [root@rhel6 ~]# cp /usr/share/ipa/ca_renewal /var/lib/certmonger/cas/
   [root@rhel6 ~]# chmod 0600 /var/lib/certmonger/cas/ca_renewal

2. SELinux 設定を更新します。

   [root@rhel6 ~]# restorecon /var/lib/certmonger/cas/ca_renewal

3. certmonger を再起動します。

   [root@rhel6 ~]# service certmonger restart

4. CA が証明書を取得するようになっているかチェックします。

   [root@rhel6 ~]# getcert list-cas
   ...
   CA 'dogtag-ipa-retrieve-agent-submit':
           is-default: no
           ca-type: EXTERNAL
   	helper-location: /usr/libexec/certmonger/dogtag-ipa-retrieve-agent-submit

5. CA 証明書データベースの PIN を取得します。

   [root@rhel6 ~]# grep internal= /var/lib/pki-ca/conf/password.conf

6. 外部更新の証明書 certmonger 追跡を設定します。これには、データベース PIN が必要です。

   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "auditSigningCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "auditSigningCert cert-pki-ca"' \
       -T "auditSigningCert cert-pki-ca" \
       -P database_pin
   New tracking request "20201127184743" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "ocspSigningCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "ocspSigningCert cert-pki-ca"' \
       -T "ocspSigningCert cert-pki-ca" \
       -P database_pin
   New tracking request "20201127184744" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "subsystemCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "subsystemCert cert-pki-ca"' \
       -T "subsystemCert cert-pki-ca" \
       -P database_pin
   New tracking request "20201127184745" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /etc/httpd/alias \
       -n ipaCert \
       -C /usr/lib64/ipa/certmonger/restart_httpd \
       -T ipaCert \
       -p /etc/httpd/alias/pwdfile.txt
   New tracking request "20201127184746" added.

1. CA サービスを停止します。

   [root@rhel6 ~]# service pki-cad stop

2. rhel6.example.com で CRL 生成を無効にします。/var/lib/pki-ca/conf/CS.cfg ファイルを開き、ca.crl.MasterCRL.enableCRLCache および ca.crl.MasterCRL.enableCRLUpdates パラメーターの値を false に設定します。

   ca.crl.MasterCRL.enableCRLCache=false
   ca.crl.MasterCRL.enableCRLUpdates=false

3. CA サービスを起動します。

   [root@rhel6 ~]# service pki-cad start

1. /etc/httpd/conf.d/ipa-pki-proxy.conf ファイルを開いて、RewriteRule エントリーをコメントアウトします。

   RewriteRule ^/ipa/crl/MasterCRL.bin https://rhel6.example.com/ca/ee/ca/getCRL?op=getCRL&crlIssuingPoint=MasterCRL [L,R=301,NC]

   注記
   URL のサーバーのホスト名を置き換えないでください。URL はローカルホスト名を参照する必要があります。
2. Apache を再起動します。

   [root@rhel6 ~]# service httpd restart

1. 「証明書更新を処理するサーバーの変更」 の説明に従って、CA サブシステム証明書の更新を処理するように rhel7.example.com を設定します。
2. 「CRL を生成するサーバーの変更」 で説明されているように、rhel7.example.com を一般的な証明書失効リスト (CRL) に設定します。

[root@server ~]# cat >keygen <<EOF
> %echo Generating a standard key
> Key-Type: RSA
> Key-Length:2048
> Name-Real: IPA Backup
> Name-Comment: IPA Backup
> Name-Email: root@example.com
> Expire-Date: 0
> %pubring /root/backup.pub
> %secring /root/backup.sec
> %commit
> %echo done
> EOF
[root@server ~]#

[root@server ~]# gpg --batch --gen-key keygen
[root@server ~]# gpg --no-default-keyring --secret-keyring /root/backup.sec \
		     --keyring /root/backup.pub --list-secret-keys

[root@server ~]# systemctl stop sssd

[root@server ~]# find /var/lib/sss/ ! -type d | xargs rm -f

[root@server ~]# systemctl start sssd

$ ipa automountlocation-add userdirs
Location: userdirs

$ ipa automountkey-add userdirs auto.direct --key=/share --info="-ro,soft, server.example.com:/home/share"

Key: /share
Mount information: -ro,soft, server.example.com:/home/share

1. provisionator ユーザーアカウントを追加します。

   $ ipa user-add provisionator --first=provisioning --last=account --password

2. provisionator ユーザーに必要な権限を割り当てます。
   stage ユーザーの追加を管理する System Provisioning というカスタムロールを作成します。

   $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

   Stage User Provisioning の権限をロールに追加します。この特権により、ステージユーザーを追加できます。

   $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

   provisionator ユーザーをロールに追加します。

   $ ipa role-add-member --users=provisionator "System Provisioning"

1. activator ユーザーアカウントを追加します。

   $ ipa user-add activator --first=activation --last=account --password

2. activator ユーザーに必要な特権を付与します。
   ユーザーをデフォルトの User Administrator ロールに追加します。

   $ ipa role-add-member --users=activator "User Administrator"

$ ipa group-add service-accounts

$ ipa pwpolicy-add service-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=20 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

$ ipa group-add-member service-accounts --users={provisionator,activator}

$ kpasswd provisionator
$ kpasswd activator

# ipa-getkeytab -s example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

#!/bin/bash

kinit -k -i activator

ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

# chmod 755 /usr/local/sbin/ipa-activate-all
# chown root:root /usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Service]
Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
ExecStart=/usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Timer]
OnBootSec=15min
OnUnitActiveSec=1min

[Install]
WantedBy=multi-user.target

# systemctl enable ipa-activate-all.timer