9.6. Kerberos 設定の検証

Active Directory (AD) ユーザーが Kerberos Ticket-Granting Ticket (TGT) を正常に取得し、IdM ドメイン内のサービスにアクセスできることを確認することで、クロスレルム信頼を検証します。

手順

Active Directory (AD) ユーザーのチケットを要求します。
```
[root@ipaserver ~]# kinit user@AD.EXAMPLE.COM
```
IdM ドメイン内のサービスのサービスチケットを要求します。
```
[root@server ~]# kvno -S host server.idm.example.com
```
AD サービスチケットが正常に許可されると、その他の要求されたすべてのチケットと共に記載されたレルム間の TGT (Ticket-Granting Ticket) があります。TGT の名前は、krbtgt/IPA.DOMAIN@AD.DOMAIN です。
```
[root@server ]# klist
```
```
Ticket cache: KEYRING:persistent:0:krb_ccache_hRtox00
Default principal: user@AD.EXAMPLE.COM

Valid starting       Expires              Service principal
03.05.2016 18:31:06  04.05.2016 04:31:01  host/server.idm.example.com@IDM.EXAMPLE.COM
	renew until 04.05.2016 18:31:00
03.05.2016 18:31:06 04.05.2016 04:31:01 krbtgt/IDM.EXAMPLE.COM@AD.EXAMPLE.COM
	renew until 04.05.2016 18:31:00
03.05.2016 18:31:01  04.05.2016 04:31:01  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
	renew until 04.05.2016 18:31:00
```
localauth プラグインは、Kerberos プリンシパルをローカルの SSSD ユーザー名にマッピングします。これにより、AD ユーザーは Kerberos 認証を使用し、GSSAPI 認証に対応する Linux サービスに直接アクセスできます。