21.7. 明示的なレルム宣言による KKDCP サーバーの設定

手順

1. /etc/ipa/kdcproxy/kdcproxy.conf ファイルの [global] セクションで、use_dns パラメーターを true に設定します。

   [global]
   use_dns = true

2. DNS ベースの KDC 検出を使用する必要がある Active Directory レルムごとに、専用のセクションを追加します。レルムを許可リストに追加するには、空のセクションを指定するだけで十分です。以下に例を示します。

   [SUB1.AD.EXAMPLE.COM]
   [SUB2.AD.EXAMPLE.COM]

   AD フォレスト内のすべてのサブレルムをそれぞれ個別にリストすることなく含めるには、先頭に * を付けたワイルドカードセクションを使用します。たとえば、[*AD.EXAMPLE.COM] は、AD.EXAMPLE.COM、SUB.AD.EXAMPLE.COM、およびそのフォレスト内のより深いサブドメインに一致しますが、MYAD.EXAMPLE.COM は一致しません。

   [*AD.EXAMPLE.COM]

3. オプション: 専用のレルムセクションを追加できない場合は、[global] セクションに dns_realm_discovery パラメーターを追加することで、すべてのレルムに対して DNS ベースの KDC 検出を再度有効にできます。

   警告

   Red Hat は dns_realm_discovery = true を設定することを推奨していません。これは CVE-2025-59088 より前の動作を復元し、任意のクライアントが任意のレルム名に対して DNS SRV レコードのルックアップをトリガーできるようにします。これにより、内部ネットワークアドレスの調査や、サーバーサイドリクエストフォージェリーを介したデータの流出に悪用される可能性があります。

   [global]
   use_dns = true
   dns_realm_discovery = true

4. Identity Management (IdM) サービスを再起動します。

   # ipactl restart