第29章 Kerberos ドメインの管理

Identity Management サーバーが、user_name の代わりに Identity Management クライアントが Kerberos チケットを要求した後に付与されるチケットの有効期間を決定する際には、さまざまなパラメーターが考慮に入れられます。まず、クライアント側の評価が行われ、kinit コマンドと /etc/krb5.conf ファイルの ticket_lifetime 設定をもとに要求する値を計算します。その後、値はサーバー側の評価が行われる Identity Management サーバーに送信されます。要求されたライフタイムがグローバル設定が許可するものよりも短い場合、要求されたライフタイムが付与されます。それ以外の場合は、付与されるライフタイムは、グローバル設定が許可する値です。

User_name の代わりにクライアントが要求したライフタイムは、以下のようにして決定されます。

サーバー側の 2 段階評価が行われます。

グローバル Kerberos チケットポリシーを再定義し、個々のユーザー固有の追加のポリシーを定義できます。

グローバル Kerberos チケットポリシーを設定するには、以下のツールを使用できます。

グローバル Kerberos チケットポリシーを変更するには、以下を実行します。

グローバル Kerberos チケットポリシーを元のデフォルト値にリセットするには、以下を実行します。

ipa krbtpolicy-mod および ipa krbtpolicy-reset の詳細は、コマンドに --help オプションを渡します。

特定ユーザーの Kerberos チケットポリシーを変更するには、以下を実行します。

新しいポリシーは、kinit ユーティリティーを使用する場合など、ユーザーが要求する次の Kerberos チケットで直ちに有効になります。

ユーザー固有の Kerberos チケットポリシーをリセットするには、ipa krbtpolicy-reset user_name コマンドを使用します。このコマンドは、ユーザーに特別に定義した値を消去し、その後、Identity Management はグローバルポリシーの値を適用します。

ipa krbtpolicy-mod および ipa krbtpolicy-reset の詳細は、コマンドに --help オプションを渡します。