20.2. ユーザー、ホスト、およびサービス用の Kerberos プリンシパルエイリアスの管理
新しいユーザー、ホスト、またはサービスを作成すると、以下の形式で Kerberos プリンシパルが自動的に追加されます。
シナリオによっては、ユーザー、ホストまたはサービスがエイリアスを使用して Kerberos アプリケーションに対して認証できるようにすることは、管理者に役立ちます。
- user_name@REALM
- host/host_name@REALM
- service_name/host_name@REALM
- ユーザー名の変更後に、ユーザーが以前のユーザー名と新しいユーザー名の両方でログインできるようにする。
- IdM Kerberos レルムがメールドメインと異なる場合でも、ユーザーはメールアドレスを使用してログインする必要がある。
ユーザーの名前を変更すると、オブジェクトはエイリアスと以前の正規プリンシパル名を保持することに注意してください。
20.2.1. Kerberos プリンシパルエイリアス
Kerberos プリンシパルエイリアスの追加
エイリアス名
useralias をアカウントユーザーに追加するには、以下を入力します。
[root@ipaserver ~]# ipa user-add-principal user useralias
--------------------------------
Added new aliases to user "user"
--------------------------------
User login: user
Principal alias: user@IDM.EXAMPLE.COM, useralias@IDM.EXAMPLE.COM
ホストまたはサービスにエイリアスを追加するには、代わりに ipa host-add-principal コマンドまたは ipa service-add-principal コマンドを使用します。
エイリアス名を使用して認証する場合は、kinit コマンドに
-C オプションを渡します。
[root@ipaserver ~]# kinit -C useralias Password for user@IDM.EXAMPLE.COM:
Kerberos プリンシパルエイリアスの削除
アカウント
userからエイリアスuseraliasを削除するには、以下を入力します。
[root@ipaserver ~]# ipa user-remove-principal user useralias -------------------------------- Removed aliases from user "user" -------------------------------- User login: user Principal alias: user@IDM.EXAMPLE.COM
ホストまたはサービスからエイリアスを削除するには、代わりにそれぞれ ipa host-remove-principal または ipa service-remove-principal コマンドを使用します。
正規のプリンシパル名は削除できないことに注意してください。
[root@ipaserver ~]# ipa user-show user User login: user ... Principal name: user@IDM.EXAMPLE.COM ... [root@ipaserver ~]# ipa user-remove-principal user user ipa: ERROR: invalid 'krbprincipalname': at least one value equal to the canonical principal name must be present
20.2.2. Kerberos Enterprise Principal Alias
エンタープライズプリンシパルエイリアスは、ユーザープリンシパル名 (UPN) 接尾辞、NetBIOS 名、または信頼された Active Directory フォレストドメインのドメイン名以外の任意のドメイン接尾辞を使用できます。
注記
エンタープライズプリンシパルエイリアスを追加または削除する場合は、2 つのバックスラッシュ (
\\) を使用して @ 記号をエスケープします。そうしないと、シェルは @ シンボルを Kerberos レルム名の一部として解釈し、以下のエラーが発生します。
ipa: ERROR: The realm for the principal does not match the realm for this IPA server
Kerberos エンタープライズプリンシパルエイリアスの追加
エンタープライズプリンシパルエイリアス
user@example.com をuserアカウントに追加するには、以下を実行します。
[root@ipaserver ~]# ipa user-add-principal user user\\@example.com
--------------------------------
Added new aliases to user "user"
--------------------------------
User login: user
Principal alias: user@IDM.EXAMPLE.COM, user\@example.com@IDM.EXAMPLE.COM
ホストまたはサービスにエンタープライズエイリアスを追加するには、代わりに ipa host-add-principal コマンドまたは ipa service-add-principal コマンドを使用します。
エンタープライズプリンシパル名を使用して認証する場合は、kinit コマンドに
-E オプションを渡します。
[root@ipaserver ~]# kinit -E user@example.com Password for user\@example.com@IDM.EXAMPLE.COM:
Kerberos エンタープライズプリンシパルエイリアスの削除
エンタープライズプリンシパルエイリアス
user@example.com をアカウントuserから削除するには、以下のコマンドを入力します。
[root@ipaserver ~]# ipa user-remove-principal user user\\@example.com -------------------------------- Removed aliases from user "user" -------------------------------- User login: user Principal alias: user@IDM.EXAMPLE.COM
ホストまたはサービスからエイリアスを削除するには、代わりにそれぞれ ipa host-remove-principal または ipa service-remove-principal コマンドを使用します。
