第6章 IdM と AD との間の通信に必要なポート

信頼のために IdM サーバーで TCP ポートの 389 を開く必要はありませんが、IdM サーバーと通信しているクライアントに必要です。

TCP ポート 135 は、DCE RPC エンドポイントマッパーが機能するために必要であり、IdM-AD 信頼の作成中に使用されます。

現在、ipa-adtrust-install コマンドは、インストール後のサマリーでポート 138 (NetBIOS-DGM) と 139 (NetBIOS-SSN) を表示します。これらのポートは必須ではないため、ブロックしたままで構いません。

libkrb5 ライブラリーは UDP を使用し、KDC (Key Distribution Center) から送信されるデータが大きすぎると、TCP プロトコルにフォールバックします。Active Directory は、PAC (Privilege Attribute Certificate) を Kerberos チケットに割り当てます。これによりサイズが増加し、TCP プロトコルを使用する必要があります。フォールバックとリクエストの再送信を回避するために、SSSD はデフォルトでユーザー認証に TCP を使用します。libkrb5 が TCP を使用する前にサイズを設定する場合は、/etc/krb5.conf ファイルに udp_preference_limit を設定します。詳細は、システム上の krb5.conf(5) man ページを参照してください。

信頼を確立するためのデフォルトの推奨設定では、ポート 389 (LDAP) が使用されます。この接続は、強力な組み込みの暗号化を提供する SASL/GSSAPI によって保護されます。このデフォルトの方法を拒否し、LDAPS を必須にするように設定されている Active Directory (AD) 環境との互換性を確保するために、ポート 636 経由で通信することも可能です。これは非標準の設定であり、お客様の AD ポリシーでどうしても必要な場合にのみ使用してください。ファイアウォールを設定する前に、AD 管理者に問い合わせて環境の要件を確認してください。このような状況に該当する場合は、サポートケースを作成してください。