5.3.4.2. 信頼ドメインの検出、有効化、および無効化
推移の信頼とは、信頼パスがドメインのチェーンを実行できることを示しています。詳細は、「信頼関係のアーキテクチャー」 を参照してください。
IdM にはフォレスト内の root ドメインとの間に信頼があり、推移性により、その子ドメイン、および同じフォレストのその他のドメインはすべてその信頼に暗黙的に組み込まれます。IdM は、フォレスト内の任意の場所に、IdM リソースへのアクセスを試みる Windows ユーザーとしてトポロジーが続きます。各ドメインおよび子ドメインは、IdM 信頼設定の 信頼ドメイン です。各ドメインは、信頼サブツリーの
cn=subdomain,cn=trust_name,cn=ad,cn=trusts,dc=example,dc=com の独自のエントリーに保存されます。
信頼が最初に設定されている場合、IdM は完全な Active Directory トポロジーを検出およびマップしようとしますが、そのトポロジーを手動で取得するのにメリットがある場合もあります。これは、trust-fetch-domains コマンドで行われます。
[root@ipaserver ~]# kinit admin [root@ipaserver ~]# ipa trust-fetch-domains ad.example.com -------------------------------------------- List of trust domains successfully refreshed -------------------------------------------- Realm name: test.ad.example.com Domain NetBIOS name: TEST Domain Security Identifier: S-1-5-21-87535643-5658642561-5780864324 Realm name: users.ad.example.com Domain NetBIOS name: USERS Domain Security Identifier: S-1-5-21-91314187-2404433721-1858927112 Realm name: prod.ad.example.com Domain NetBIOS name: PROD Domain Security Identifier: S-1-5-21-46580863-3346886432-4578854233 ---------------------------- Number of entries returned 3 ----------------------------
注記
共有シークレットで信頼を追加する場合は、AD フォレストのトポロジーを手動で取得する必要があります。ipa trust-add ad.domain --trust-secret コマンドを実行すると、AD ドメインおよび Trusts ツールのフォレスト信頼プロパティーを使用して、AD 側で着信信頼を検証します。次に、ipa trust-fetch-domains ad.domain コマンドを実行します。IdM は信頼に関する情報を受け取り、その信頼に関する情報を利用できます。
トポロジーが取得されると (自動検出または手動検出)、IdM 信頼設定内で、そのトポロジーの個別のドメインおよび子ドメインを有効にしたり、無効にしたり、または完全に削除したりできます。
たとえば、特定の子ドメインのユーザーが IdM リソースを使用できないようにするには、その信頼ドメインを無効にします。
[root@ipaserver ~]# kinit admin [root@ipaserver ~]# ipa trustdomain-disable test.ad.example.com ------------------------------------------ Disabled trust domain "test.ad.example.com" ------------------------------------------
その信頼ドメインは、trustdomain-enable コマンドを使用して再度有効にできます。
ドメインがトポロジーから永久的に削除される必要がある場合、IdM 信頼設定からこれを削除することができます。
[root@ipaserver ~]# kinit admin [root@ipaserver ~]# ipa trustdomain-del prod.ad.example.com ------------------------------------------------------------------- Removed information about the trusted domain " "prod.ad.example.com" -------------------------------------------------------------------
