21.4. IdM sudo ポリシーを使用するようにホストを設定
実際に
sudo ポリシーを実装するのは、IdM でルールを作成するよりも複雑です。これらのルールはすべてのローカルマシンに適用する必要があります。つまり、IdM ドメインの各システムがポリシーに対して IdM を参照するように設定する必要があります。
SSSD または LDAP を使用して、ホストに
sudo ポリシーを適用できます。Red Hat では、SSSD ベースの設定を使用することを強く推奨しています。
21.4.1. SSSD を使用した sudo ポリシーのホストへの適用
- IdM でホストおよび
sudoエントリーを設定します。- 「sudo コマンドおよびコマンドグループの設定」の説明に従って、
sudoコマンドおよびコマンドグループを設定します。 - 「sudo ルールの定義」の説明に従って、
sudoルールを設定します。 - 任意。「ホストグループの管理」の説明に従って、ホストグループを設定します。
- 任意。「ユーザーグループの作成」で説明されているようにユーザーグループを作成し、ユーザーを追加します。
sudoルールに SSSD を使用するように、IdM ドメインのすべてのシステムを設定します。注記このステップは、Red Hat Enterprise Linux 6.5 以前に基づいたシステムでのみ実行してください。Red Hat Enterprise Linux 6.6 以降では、ipa-client-installユーティリティーが SSSD を自動的にsudoのデータプロバイダーとして設定します。sudoersファイルで SSSD をルックアップするようsudoを設定します。vim /etc/nsswitch.conf sudoers: files sss
このfilesオプションをそのままにすると、sudoで、IdM 設定について SSSD を確認する前にローカル設定を確認することができます。sudoを、ローカルの SSSD クライアントが管理するサービス一覧に追加します。[root@server ~]# vim /etc/sssd/sssd.conf [sssd] config_file_version = 2 services = nss, pam,
sudodomains = IPADOMAINsudo設定で NIS ドメインの名前を設定します。sudoは NIS スタイルの netgroup を使用するので、sudoが IdMsudo設定で使用されているホストグループを発見できるようにするには、NIS ドメイン名はシステム設定で設定する必要があります。sudoルールで使用する NIS ドメイン名を設定します。[root@server ~]# nisdomainname example.com
- NIS ドメイン名が維持されるようにシステム認証設定を設定します。たとえば、以下のようになります。
[root@server ~]# echo "NISDOMAIN=example.com.com" >> /etc/sysconfig/network
これにより、NIS ドメインを持つ/etc/sysconfig/networkおよび/etc/yp.confファイルが更新されます。
注記sudoは NIS 形式のネットグループを使用しますが、NIS サーバーをインストールする必要はありません。netgroups では、NIS ドメインを設定で命名する必要があるため、sudoでは、netgroups に NIS ドメインという名前を付ける必要があります。ただし、NIS ドメインが存在する必要はありません。
- オプションで、SSSD 内のデバッグを有効にして、使用している LDAP 設定を表示することができます。
[domain/IPADOMAIN] debug_level = 6 ....
SSSD が操作に使用する LDAP 検索ベースは、sssd_DOMAINNAME.logファイルに記録されます。
