48.6.6. Kerberos 5 クライアントの設定
Kerberos 5 クライアントの設定は、サーバーの設定とは関係ありません。少なくとも、クライアントパッケージをインストールし、各クライアントに有効な
krb5.conf 設定ファイルを提供します。クライアントシステムにリモートでログインする方法として、ssh と slogin が推奨されていますが、Kerberos 化されたバージョンの rsh と rlogin は引き続き利用できますが、それらをデプロイするにはさらに多くの設定変更を行う必要があります。
- Kerberos クライアントと KDC の間で時刻同期が行われていることを確認します。詳細は、「Kerberos 5 サーバーの設定」 を参照してください。さらに、Kerberos クライアントプログラムを設定する前に、DNS が Kerberos クライアントで適切に機能していることを確認します。
- すべてのクライアントマシンに
krb5-libsおよびkrb5-workstationパッケージをインストールします。各クライアントに有効な/etc/krb5.confファイルを指定します（通常は、KDC で使用される同じkrb5.confファイルになります）。 - レルムのワークステーションが Kerberos を使用して、ssh または Kerberized rsh または rlogin を使用して接続するユーザーを認証する前に、Kerberos データベースに独自のホストプリンシパルが必要になります。sshd、kshd、および klogind サーバープログラムはすべて、ホスト サービスのプリンシパルのキーへのアクセスが必要になります。さらに、kerberized rsh および rlogin サービスを使用するには、そのワークステーションに
xinetdパッケージがインストールされている必要があります。kadmin を使用して、KDC 上のワークステーション用のホストプリンシパルを追加します。この場合のインスタンスはワークステーションのホスト名です。kadmin の addprinc コマンドに -randkey オプションを指定してプリンシパルを作成し、それをランダムな鍵に割り当てます。addprinc -randkey host/blah.example.comプリンシパルが作成されたので、ワークステーション 自体で kadmin を実行し、 kadmin 内で ktadd コマンドを使用すると、ワークステーション 用の鍵を抽出できるようになりました。ktadd -k /etc/krb5.keytab host/blah.example.com - その他の Kerberos ネットワークサービスを使用するには、まずそれらを起動する必要があります。以下は、一般的な Kerberos サービスの一覧と、そのサービスを有効にする手順です。
- SSH - クライアントとサーバーの設定で
GSSAPIAuthenticationが有効になっている場合、OpenSSH は GSS-API を使用してサーバーにユーザーを認証します。クライアントでもGSSAPIDelegateCredentialsが有効な場合は、ユーザーの認証情報がリモートシステムで利用可能になります。 - rsh および rlogin: kerberized バージョンの rsh および rlogin を使用するには、klogin、eklogin、および kshell を有効にします。
- telnet - kerberized Telnet を使用するには、krb5-telnet を 有効にする必要があります。
- FTP: FTP アクセスを提供するには、
ftpのルートでプリンシパルのキーを作成して展開します。インスタンスを FTP サーバーの完全修飾ホスト名に設定し、gssftp を有効にするようにしてください。 - IMAP - kerberized IMAP サーバーを使用するには、
cyrus-sasl-gssapiパッケージがインストールされている場合は、cyrus-imapパッケージも Kerberos 5 を使用します。cyrus-sasl-gssapiパッケージには、GSS-API 認証をサポートする Cyrus SASL プラグインが含まれます。Cyrus IMAP は、cyrus ユーザーが/etc/krb5.keytabで適切な鍵を見つけ、プリンシパルのルートが imap ( kadminで作成された)に設定されている限り Kerberos で適切に機能します。cyrus-imapの代替は、dovecot パッケージにあります。これは、Red Hat Enterprise Linux にも含まれています。このパッケージには IMAP サーバーが含まれていますが、現在のところ GSS-API および Kerberos には対応していません。 - CVS - kerberized CVS サーバーを使用するには、gserver は root が
cvsのプリンシパルを使用し、それ以外の場合は CVS pserver と同じです。
サービスを有効にする方法は、18章 を参照してください。
