9.2.4. Kerberos との統合

環境に Kerberos を実装している場合、GSSAPI SASL メカニズムとともに使用して受信接続を認証できます。

前提条件

Kerberos インフラストラクチャーはお使いの環境にデプロイする必要があります。
Kerberos 環境では、amqp/<hostname>@<realm> のサービスプリンシパルを設定する必要があります。
これは、AMQ Interconnect が使用するサービスプリンシパルです。
cyrus-sasl-gssapi パッケージが各クライアントおよびルーターホストマシンにインストールされている。

手順

ルーターのホストマシンで、/etc/sasl2/qdrouterd.conf 設定ファイルを開きます。
以下の例では、/etc/sasl2/qdrouterd.conf 設定ファイルを示しています。
```
pwcheck_method: auxprop
auxprop_plugin: sasldb
sasldb_path: qdrouterd.sasldb
keytab: /etc/krb5.keytab
mech_list: ANONYMOUS DIGEST-MD5 EXTERNAL PLAIN GSSAPI
```
以下を確認します。
- mech_list 属性には GSSAPI メカニズムが含まれます。
- keytab 属性は、キータブファイルの場所を参照します。
/etc/qpid-dispatch/qdrouterd.conf 設定ファイルを開きます。
router セクションで、SASL 設定ファイルへのパスを指定します。
```
router {
    mode: interior
    id: Router.A
    saslConfigDir: /etc/sasl2/
}
```
saslConfigDir
SASL データベースへのパスが含まれる SASL 設定ファイルへのパス。
認証に Kerberos を使用する各着信接続に対して、listener が GSSAPI メカニズムを使用するように設定します。
```
listener {
    host: 0.0.0.0
    port: 5672
    authenticatePeer: yes
    saslMechanisms: GSSAPI
    }
```