15.5.2. 同期合意の作成

同期合意は、Active Directoryドメインへの接続を作成するため、IdM サーバー上では ipa-replica-manage connect コマンドを使用して作成します。同期合意の作成オプションは、表15.2「同期合意のオプション」に記載されています。

Active Directory サーバーと IdM サーバーが、「Active Directory および IdM CA 証明書の信頼」にあるように相互の CA 証明書を信頼していることを確認してください。
IdM サーバー上の既存の Kerberos 資格情報を削除します。
```
$ kdestroy
```
ipa-replica-manage コマンドを使用して Windows 同期合意を作成します。これには、--winsync オプションが必要です。パスワードとユーザーアカウントを同期する場合は、--passsync オプションも使用して、パスワード同期に使用するパスワードを設定します。
--binddn および --bindpwd オプションを指定すると、IdM が Active Directory サーバーへの接続に使用する Active Directory サーバー上のシステムアカウントにユーザー名およびパスワードを設定します。
```
$ ipa-replica-manage connect --winsync 
	--binddn cn=administrator,cn=users,dc=example,dc=com 
	--bindpw Windows-secret 
	--passsync secretpwd 
	--cacert /etc/openldap/cacerts/windows.cer  
	adserver.example.com -v
```
プロンプトが出されたら、Directory Manager のパスワードを入力します。
任意。「パスワード同期のセットアップ」に説明されているようにパスワードの同期を設定します。

表15.2 同期合意のオプション
オプション	Description
--winsync	同期合意として指定します。
--binddn	同期 ID の完全なユーザーの DN を指定します。これは、IdM LDAP サーバーが Active Directory にバインドするために使用するユーザーの DN です。このユーザーは Active Directory ドメインに存在しており、Active Directory サブツリーに replicator、read、search、write のパーミッションが必要です。
--bindpw	同期ユーザーのパスワードを指定します。
--passsync	同期を行う Windows ユーザーアカウントのパスワードを指定します。
--cacert	Active Directory CA 証明書の完全パスおよびファイル名を指定します。この証明書は、「Active Directory および IdM CA 証明書の信頼」にエクスポートされます。
--win-subtree	同期するユーザーが含まれる Windows ディレクトリーサブツリーの DN を指定します。デフォルト値は `cn=Users,$SUFFIX` です。
AD_server_name	Active Directory ドメインコントローラーのホスト名を指定します。