7.4. IdM での OTP バリデーション用の RADIUS サーバー設定

手順

1. RADIUS プロキシーを追加します。

   $ ipa radiusproxy-add proxy_name --secret secret

   このコマンドは、必要な情報を挿入するように求められます。

   RADIUS プロキシーの設定には、クライアントとサーバーとの間の共通のシークレットを使用して認証情報をラップする必要があります。--secret パラメーターにこのシークレットを指定します。

2. 追加したプロキシーにユーザーを割り当てます。

   $ ipa user-mod radiususer --radius=proxy_name

3. 必要に応じて、RADIUS に送信するユーザー名を設定します。

   $ ipa user-mod radiususer --radius-username=radius_user

   これにより、RADIUS プロキシーサーバーがユーザーの OTP 認証の処理を開始します。

   ユーザーが IdM ネイティブ OTP システムに移行する準備ができたら、ユーザーの RADIUS プロキシー割り当てを削除するだけです。

   注記

   低速ネットワークで RADIUS プロキシーを実行している場合などの特定の状況では、ユーザーがトークンを入力するのを待機している間に接続がタイムアウトして、RADIUS サーバーが応答する前に Identity Management (IdM) Kerberos Distribution Center (KDC) が接続を閉じます。KDC のタイムアウト設定は変更することが可能です。

4. /var/kerberos/krb5kdc/kdc.conf ファイルの [otp] セクションで timeout パラメーターの値を変更します。たとえば、タイムアウトを 120 秒に設定するには、以下のようにします。

   [otp]
   DEFAULT = {
     timeout = 120
     ...
   }

5. krb5kdc サービスを再起動します。

   # systemctl restart krb5kdc