13.2.8. サービスの設定： sudo

手順13.5 SSSD を使用した sudo の設定

1. sssd-common パッケージがインストールされていることを確認します。
   Copy to Clipboard Toggle word wrap

   ~]$ rpm -q sssd-common

2. sssd.conf ファイルを開きます。
   Copy to Clipboard Toggle word wrap

   ~]# vim /etc/sssd/sssd.conf

3. SSSD が管理するサービス一覧に sudo サービスを追加します。
   Copy to Clipboard Toggle word wrap

   [sssd]
   services = nss,pam,sudo
   ....

4. 新しい [sudo] サービス設定セクションを作成します。このセクションは空白のままにすることができます。1 つの設定可能なオプションは 1 つしかなく、sudo がピリオドの前または後に評価するための設定可能です。
   ただし、このセクションでは、SSSD が sudo サービスを認識し、デフォルト設定を提供する必要があります。
   Copy to Clipboard Toggle word wrap

   [sudo]

5. sudo 情報は、SSSD 設定の設定済みの LDAP ドメインから読み取られるため、LDAP ドメインが利用可能でなければなりません。LDAP プロバイダーの場合、これらのパラメーターが必要です。
   • ディレクトリータイプ sudo_provider。これは常に ldap です。
   • 検索ベースである ldap_sudo_search_base。
   • LDAP サーバーの URI ldap_uri。
   以下に例を示します。
   Copy to Clipboard Toggle word wrap

   [domain/LDAP]
   id_provider = ldap
   
   sudo_provider = ldap
   ldap_uri = ldap://example.com
   ldap_sudo_search_base = ou=sudoers,dc=example,dc=com

   Identity Management（IdM または IPA）プロバイダーの場合、サーバーへの接続時に Kerberos 認証を実行するために必要な追加のパラメーターがあります。
   Copy to Clipboard Toggle word wrap

   [domain/IDM]
   id_provider = ipa
   ipa_domain = example.com
   ipa_server = ipa.example.com
   ldap_tls_cacert = /etc/ipa/ca.crt
   
   sudo_provider = ldap
   ldap_uri = ldap://ipa.example.com
   ldap_sudo_search_base = ou=sudoers,dc=example,dc=com
   ldap_sasl_mech = GSSAPI
   ldap_sasl_authid = host/hostname.example.com
   ldap_sasl_realm = EXAMPLE.COM
   krb5_server = ipa.example.com

   注記
   Identity Management プロバイダーの sudo_provider タイプは ldap です。
6. sudo ルールキャッシュの更新に使用する間隔を設定します。
   特定のシステムユーザーの キャッシュは常にチェックされ、そのユーザーがタスクを実行するたびに更新されます。ただし、SSSD は、ローカルシステムに関連するすべてのルールをキャッシュします。この完全なキャッシュは 2 つの方法で更新されます。
   • 最後に完全更新からのルールのみの変更（ldap_sudo_smart_refresh_interval、秒単位の時間）、デフォルトは 15 分です。
   • 完全にキャッシュ全体をダンプし、LDAP サーバーの現在のすべてのルール（ldap_sudo_full_refresh_interval、時間（秒単位））にプルします。デフォルトは 6 時間です。
   これらの 2 つの更新間隔は別々に設定されます。以下に例を示します。
   Copy to Clipboard Toggle word wrap

   [domain/LDAP]
   ...
   ldap_sudo_full_refresh_interval=86400
   ldap_sudo_smart_refresh_interval=3600

   注記
   SSSD は、ローカルシステムに適用される sudo ルールのみをキャッシュします。つまり、sudoHost の値が ALL に設定されていると、ホスト名と一致する正規表現、システムの netgroup と一致する正規表現を使用するか、システムのホスト名、完全修飾ドメイン名、または IP アドレスと一致させます。
7. 必要に応じて、sudo ルールに使用されるスキーマを変更する値を設定します。
   スキーマ要素は ldap_sudorule_* 属性で設定されます。デフォルトでは、スキーマ要素はすべて sudoers.ldap で定義されたスキーマを使用します。これらのデフォルトはほぼすべてのデプロイメントで使用されます。
8. sssd.conf ファイルを保存して閉じます。
9. nsswitch.conf ファイルを編集して sss の場所を追加して、SSSD でルール設定を検索するように sudo を設定します。
   Copy to Clipboard Toggle word wrap

   ~]# vim /etc/nsswitch.conf
   
   sudoers: files sss

10. SSSD を再起動します。
    Copy to Clipboard Toggle word wrap

    ~]# service sssd restart