RHEL での認証と認可の設定

検証

1. SSSD の sss エントリーが /etc/nsswitch.conf にあることを確認します。

   passwd:     sss files
   group:      sss files
   netgroup:   sss files
   automount:  sss files
   services:   sss files
   ...

   Copy to Clipboard Toggle word wrap

2. pam_sss.so エントリーの /etc/pam.d/system-auth ファイルの内容を確認します。

   # Generated by authselect on Tue Sep 11 22:59:06 2018
   # Do not modify this file manually.
   
   auth        required        pam_env.so
   auth        required        pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]    pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]    pam_localuser.so
   auth        sufficient      pam_unix.so nullok try_first_pass
   auth        requisite       pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient      pam_sss.so forward_pass
   auth        required        pam_deny.so
   
   account     required        pam_unix.so
   account     sufficient      pam_localuser.so
   ...

   Copy to Clipboard Toggle word wrap

手順

1. authselect プロファイルを選択します。以下に例を示します。

   # authselect select sssd

   Copy to Clipboard Toggle word wrap
2. 必要な変更で /etc/authselect/user-nsswitch.conf ファイルを編集します。

3. /etc/authselect/user-nsswitch.conf ファイルから変更を適用します。

   # authselect apply-changes

   Copy to Clipboard Toggle word wrap

手順

1. カスタムプロファイルを作成するために、authselect create-profile コマンドを実行します。<custom_profile> を目的のプロファイル名に置き換えます。たとえば、/etc/nsswitch.conf ファイル内の項目を自分で設定するオプションを使用して、既製の sssd プロファイルに基づいてプロファイルを作成するには、次のコマンドを使用します。

   # authselect create-profile <custom_profile> -b sssd --symlink-meta --symlink-pam
   New profile was created at /etc/authselect/custom/<custom_profile>

   Copy to Clipboard Toggle word wrap
   警告

   /etc/authselect/custom/<custom_profile>/{password-auth,system-auth,fingerprint-auth,smartcard-auth,postlogin} を変更する予定の場合は、--symlink-pam オプションを指定せずに上記のコマンドを入力してください。これは、authselect-libs のアップグレード中に変更が確実に維持されるために行います。

   コマンドに --symlink-pam オプションを含めると、PAM テンプレートがコピーではなく元のプロファイルファイルへのシンボリックリンクになります。また、--symlink-meta オプションを含めると、README や REQUIREMENTS などのメタファイルも、コピーではなく元のプロファイルファイルへのシンボリックリンクになります。これにより、元のプロファイルの PAM テンプレートおよびメタファイルへの今後の更新が、カスタムプロファイルにも反映されます。

   このコマンドにより、/etc/authselect/custom/<custom_profile>/ ディレクトリーに /etc/nsswitch.conf ファイルのコピーが作成されます。

2. /etc/authselect/custom/<custom_profile>/nsswitch.conf ファイルを設定します。

3. パラメーターとして custom/<custom_profile> を指定した authselect select コマンドを実行し、カスタムプロファイルを選択します。

   # authselect select custom/<custom_profile>

   Copy to Clipboard Toggle word wrap

   お使いのマシン用に <custom_profile> プロファイルを選択すると、後で Red Hat によって sssd プロファイルが更新されたときに、/etc/nsswitch.conf ファイルに加えた更新以外のすべての更新を利用できます。

   例2.1 sssd プロファイルに基づくカスタムプロファイルの作成

   sssd プロファイルに基づいてプロファイルを作成できます。このプロファイルでは、dns または myhostname データベース内ではなく、/etc/hosts ファイル内のホスト名のローカル静的テーブル検索のみを参照します。

   1. /etc/nsswitch.conf ファイルで、次の行を編集します。

      hosts:      files

      Copy to Clipboard Toggle word wrap

   2. /etc/nsswitch.conf への変更を除外するカスタムプロファイルを sssd に基づいて作成します。

      # authselect create-profile custom-sssd-profile -b sssd --symlink-meta --symlink-pam

      Copy to Clipboard Toggle word wrap

   3. プロファイルを選択します。

      # authselect select custom/custom-sssd-profile

      Copy to Clipboard Toggle word wrap

   4. オプション: カスタムプロファイルを選択したことにより、以下が実行されたことを確認します。

      • 選択した sssd プロファイルに従って /etc/pam.d/system-auth ファイルが作成された。

      • /etc/nsswitch.conf の設定が変更されていない。

        hosts:      files

        Copy to Clipboard Toggle word wrap
        注記

        authselect select sssd を実行すると、対照的に hosts: files dns myhostname という結果になります。

1. クライアントをリモートプロバイダーに接続し、ID 情報および認証情報を取得します。
2. 取得した認証情報を使用して、クライアントにユーザーと認証情報のローカルキャッシュを作成します。

1. プライマリー /etc/sssd/sssd.conf ファイル。
2. /etc/sssd/conf.d/ 内のその他の *.conf ファイル。これらのファイルはアルファベット順に処理されます。

手順

1. 必要なパッケージをインストールします。

   # dnf -y install openldap-clients sssd sssd-ldap oddjob-mkhomedir

   Copy to Clipboard Toggle word wrap

2. 認証プロバイダーを sssd に切り替えます。

   # authselect select sssd with-mkhomedir

   Copy to Clipboard Toggle word wrap

3. OpenLDAP サーバーの SSL/TLS 証明書を発行した認証局からのルート CA 署名証明書チェーンを含む core-dirsrv.ca.pem ファイルを /etc/openldap/certs フォルダーにコピーします。

   # cp core-dirsrv.ca.pem /etc/openldap/certs

   Copy to Clipboard Toggle word wrap

4. LDAP サーバーの URL と接尾辞を /etc/openldap/ldap.conf ファイルに追加します。

   URI ldap://ldap-server.example.com/
   BASE dc=example,dc=com

   Copy to Clipboard Toggle word wrap

5. /etc/openldap/ldap.conf ファイルで、/etc/openldap/certs/core-dirsrv.ca.pem を参照する TLS_CACERT パラメーターの行を追加します。

   # When no CA certificates are specified the Shared System Certificates
   # are in use. In order to have these available along with the ones specified
   # by TLS_CACERTDIR one has to include them explicitly:
   TLS_CACERT /etc/openldap/certs/core-dirsrv.ca.pem

   Copy to Clipboard Toggle word wrap

6. /etc/sssd/sssd.conf ファイルで、環境の値を ldap_uri パラメーターおよび ldap_search_base パラメーターに追加し、ldap_id_use_start_tls を True に設定します。

   [domain/default]
   id_provider = ldap
   autofs_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://ldap-server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_id_use_start_tls = True
   cache_credentials = True
   ldap_tls_cacertdir = /etc/openldap/certs
   ldap_tls_reqcert = allow
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   …

   Copy to Clipboard Toggle word wrap

7. /etc/sssd/sssd.conf で、[domain] セクションの ldap_tls_cacert および ldap_tls_reqcert の値を変更して TLS 認証要件を指定します。

   …
   cache_credentials = True
   ldap_tls_cacert = /etc/openldap/certs/core-dirsrv.ca.pem
   ldap_tls_reqcert = hard
   …

   Copy to Clipboard Toggle word wrap

8. /etc/sssd/sssd.conf ファイルの権限を変更します。

   # chmod 600 /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

9. SSSD サービスおよび oddjobd デーモンを再起動して有効にします。

   # systemctl restart sssd oddjobd
   # systemctl enable sssd oddjobd

   Copy to Clipboard Toggle word wrap

10. オプション: LDAP サーバーが非推奨の TLS 1.0 または TLS 1.1 プロトコルを使用している場合は、クライアントシステムのシステム全体の暗号化ポリシーを LEGACY レベルに切り替えて、RHEL がこのプロトコルを使用して通信できるようにします。

    # update-crypto-policies --set LEGACY

    Copy to Clipboard Toggle word wrap

    詳細は、Red Hat カスタマーポータルのナレッジベース記事 Strong crypto defaults in RHEL 8 and deprecation of weak crypto algorithms、およびシステム上の update-crypto-policies(8) man ページを参照してください。

手順

1. /etc/sssd/sssd.conf ファイルを開きます。

2. re_expression オプションを使用して、カスタムの正規表現を定義します。

   例5.1 正規表現のグローバルでの定義

   すべてのドメインに対してグローバルに正規表現を定義するには、sssd.conf ファイルの [sssd] セクションに re_expression を追加します。

   次の glob 表現を使用して、ユーザー名を <domain>\_<username>_ または <domain>@<user_name> という形式で定義できます。

   [sssd]
   [... file truncated ...]
   re_expression = (?P_<domain>_[^\\]*?)\\?(?P_<name>_[^\\]+$)

   Copy to Clipboard Toggle word wrap

   例5.2 特定のドメインへの正規表現の定義

   特定のドメインに個別に正規表現を定義するには、sssd.conf ファイルの対応するドメインセクションに re_expression を追加します。

   次の glob 表現を使用して、LDAP ドメインのユーザー名を <domain>\_<username>_ または <domain>@<user_name> という形式で定義できます。

   [domain/LDAP]
   [... file truncated ...]
   re_expression = (?P_<domain>_[^\\]*?)\\?(?P_<name>_[^\\]+$)

   Copy to Clipboard Toggle word wrap

手順

1. root として /etc/sssd/sssd.conf ファイルを開きます。

2. すべてのドメインに対してグローバルに拡張を定義するには、sssd.conf の [sssd] セクションに full_name_format を追加します。

   [sssd]
   [... file truncated ...]
   full_name_format = %1$s@%2$s

   Copy to Clipboard Toggle word wrap

   この場合、ユーザー名は user@domain.test と表示されます。

3. 特定のドメインのユーザー名出力形式を定義するには、sssd.conf の対応するドメインセクションに full_name_format を追加します。

   • %2$s\%1$s を使用して Active Directory (AD) ドメインの拡張を設定するには、以下を実行します。

     [domain/ad.domain]
     [... file truncated ...]
     full_name_format = %2$s\%1$s

     Copy to Clipboard Toggle word wrap

     この場合、ユーザー名は ad.domain\user と表示されます。

   • %3$s\%1$s を使用して Active Directory (AD) ドメインの拡張を設定するには、以下を実行します。

     [domain/ad.domain]
     [... file truncated ...]
     full_name_format = %3$s\%1$s

     Copy to Clipboard Toggle word wrap

     この場合、Active Directory ドメインのフラットドメイン名が AD に設定されている場合、ユーザー名は AD\user と表示されます。

手順

1. /etc/sssd/sssd.conf ファイルを開きます。

2. ドメインセクションで、cache_credentials = true 設定を追加します。

   [domain/<domain_name>]
   cache_credentials = true

   Copy to Clipboard Toggle word wrap

3. 推奨 (任意): アイデンティティープロバイダーが利用できない場合に SSSD がオフライン認証を許可する期間の制限を設定します。

   1. SSSD と連携するように PAM サービスを設定します。

   2. offline_credentials_expiration オプションを使用して、時間制限を指定します。

      制限は日単位で設定されることに注意してください。

      たとえば、最終ログインに成功してから 3 日間、オフライン認証を可能にするには、以下を使用します。

      [pam]
      offline_credentials_expiration = 3

      Copy to Clipboard Toggle word wrap

手順

1. /etc/sssd/sssd.conf ファイルを開きます。

2. プライマリーサーバーの値を _srv_ に設定します。

   LDAP プロバイダーの場合、プライマリーサーバーは ldap_uri オプションを使用して設定されます。

   [domain/<ldap_domain_name>]
   id_provider = ldap
   ldap_uri = _srv_

   Copy to Clipboard Toggle word wrap

3. パスワード変更プロバイダーでサービス検出を有効にするには、サービスタイプを設定します。

   [domain/<ldap_domain_name>]
   id_provider = ldap
   ldap_uri = _srv_
   
   chpass_provider = ldap
   ldap_chpass_dns_service_name = ldap

   Copy to Clipboard Toggle word wrap
4. オプション: デフォルトでは、サービス検出はシステムホスト名のドメイン部分をドメイン名として使用します。別の DNS ドメインを使用するには、dns_discovery_domain オプションを使用してドメイン名を指定します。
5. オプション: デフォルトでは、サービス検出は LDAP サービスタイプをスキャンします。別のサービスタイプを使用するには、ldap_dns_service_name オプションを使用してタイプを指定します。
6. オプション: デフォルトでは、SSSD は IPv4 アドレスの検索を試みます。試行に失敗すると、SSSD は IPv6 アドレスの検索を試行します。この動作をカスタマイズするには、lookup_family_order オプションを使用します。

7. サービス検出を使用するすべてのサービスについて、DNS レコードを DNS サーバーに追加します。

   _<service_name>.<protocol>.<domain_name> <TTL> <priority> <weight> <port_number> <hostname>_

   Copy to Clipboard Toggle word wrap

手順

1. /etc/sssd/sssd.conf ファイルを開きます。

2. access_provider オプションを simple に設定します。

   [domain/<domain_name>]
   access_provider = simple

   Copy to Clipboard Toggle word wrap

3. ユーザーのアクセス制御ルールを定義します。

   1. ユーザーへのアクセスを許可するには、simple_allow_users オプションを使用します。

   2. ユーザーへのアクセスを拒否するには、simple_deny_users オプションを使用します。

      重要

      特定のユーザーへのアクセスを拒否する場合には、他のユーザーすべてにアクセスを自動的に許可します。特定ユーザーにアクセスを許可する方が拒否するよりも安全であると考えられます。

4. グループのアクセス制御ルールを定義します。以下のいずれかを選択します。

   1. グループへのアクセスを許可するには、simple_allow_groups オプションを使用します。

   2. グループへのアクセスを拒否するには、simple_deny_groups オプションを使用します。

      重要

      特定のグループへのアクセスを拒否する場合には、他のグループすべてに、アクセスを自動的に許可します。特定グループにアクセスを許可する方が拒否するよりも安全であると考えられます。

      例5.3 特定のユーザーおよびグループへのアクセス許可

      次の例では、alice、bob、および engineers グループのメンバーにアクセスを許可し、他のすべてのユーザーのアクセスを拒否します。

      [domain/<domain_name>]
      access_provider = simple
      simple_allow_users = alice, bob
      simple_allow_groups = engineers

      Copy to Clipboard Toggle word wrap

手順

1. /etc/sssd/sssd.conf ファイルを開きます。

2. [domain] セクションで、アクセス制御フィルターを指定します。

   • LDAP の場合は、ldap_access_filter オプションを使用します。

   • AD の場合は、ad_access_filter オプションを使用します。さらに、ad_gpo_access_control オプションを disabled に設定して、GPO ベースのアクセス制御を無効にする必要があります。

     例5.4 特定の AD ユーザーへのアクセス許可

     たとえば、admins ユーザーグループに属し、属性セットが unixHomeDirectory の AD ユーザーにのみアクセスを許可するには、以下を使用します。

     [domain/<ad_domain_name>]
     access provider = ad
     [... file truncated ...]
     ad_access_filter = (&(memberOf=cn=admins,ou=groups,dc=example,dc=com)(unixHomeDirectory=*))
     ad_gpo_access_control = disabled

     Copy to Clipboard Toggle word wrap

手順

1. ユーザーの現在の情報を表示します。

   # id <ldap_username>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザーの LDAP username に置き換えます。

2. ローカルユーザー名を追加します。

   # sss_override user-add <ldap_username> -n <local_username>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、LDAP username に置き換えます。<local_username> は、目的のローカルユーザー名に置き換えます。

3. sss_override user-add コマンドを使用して最初のオーバーライドを作成したら、SSSD を再起動して変更を反映します。

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

手順

1. ユーザーの現在の UID を表示します。

   # id -u <ldap_username>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザーの LDAP username に置き換えます。

2. ユーザーのアカウントの UID をオーバーライドします。

   # sss_override user-add <ldap_username> -u <local_uid>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザーの LDAP username に置き換えます。<local_uid> は、新しい UID 番号に置き換えます。

3. インメモリーキャッシュを失効させます。

   # sss_cache --users

   Copy to Clipboard Toggle word wrap

4. sss_override user-add コマンドを使用して最初のオーバーライドを作成したら、SSSD を再起動して変更を反映します。

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

手順

1. ユーザーの現在の GID を表示します。

   # id -g <ldap_username>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザー名に置き換えます。

2. ユーザーのアカウントの GID をオーバーライドします。

   # sss_override user-add <ldap_username> -g <local_gid>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザー名に置き換えます。<local_gid> は、ローカル GID 番号に置き換えます。

3. インメモリーキャッシュを失効させます。

   # sss_cache --users

   Copy to Clipboard Toggle word wrap

4. sss_override user-add コマンドを使用して最初のオーバーライドを作成したら、SSSD を再起動して変更を反映します。

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

手順

1. ローカルに保存れているユーザーの現在のホームディレクトリーを表示します。

   # getent passwd <ldap_username>
   <ldap_username>:x:XXXX:XXXX::/home/<home_directory>:/bin/bash

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザー名に置き換えます。ローカルで表示されるとおりのホームディレクトリーの値が出力に表示されます。この値は LDAP レコードとは異なる場合があります。

2. ユーザーのホームディレクトリーをオーバーライドします。

   # sss_override user-add <ldap_username> -h <new_home_directory>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザー名に置き換えます。<new_home_directory> は、新しいホームディレクトリーに置き換えます。

3. SSSD を再起動して変更を適用します。

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

手順

1. ローカルに保存されているユーザーの現在のシェルを表示します。

   # getent passwd <ldap_username>
   <ldap_username>:x:XXXX:XXXX::/home/<home_directory>:_<currentshell>_

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザー名に置き換えます。

2. ユーザーのシェルをオーバーライドします。

   # sss_override user-add <ldap_username> -s <new_shell>

   Copy to Clipboard Toggle word wrap

   <ldap_username> は、ユーザー名に置き換えます。<new_shell> は、新しいシェルに置き換えます。

3. SSSD を再起動して変更を適用します。

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap

手順

1. オプション: sssctl コマンドのヘルプを表示するには、次のように入力します。

   [user@client1 ~]$ sssctl --help
   ....

   Copy to Clipboard Toggle word wrap
2. 利用可能なドメインのリストを表示するには、以下を入力します。

手順

1. オプション: sssctl コマンドのヘルプを表示するには、次のように入力します。

   [user@client1 ~]$ sssctl --help

   Copy to Clipboard Toggle word wrap

2. 特定のドメインのユーザーデータを表示するには、次のように入力します。<domain_name> は実際のドメイン名に置き換えます。

   [root@client1 ~]# sssctl domain-status <domain_name>

   Copy to Clipboard Toggle word wrap

   ドメイン idm.example.com の出力例

   Online status: Online
   
   Active servers:
   IPA: server.idm.example.com
   
   Discovered IPA servers:
   - server.idm.example.com

   Copy to Clipboard Toggle word wrap

   ドメイン idm.example.com はオンラインになり、コマンドを設定したクライアントから表示されます。

手順

1. 必要なドメインにアクセスするように SSSD を設定します。/etc/sssd/sssd.conf ファイルの domains オプションで、SSSD が認証できるドメインを定義します。

   [sssd]
   domains = <idm.example.com>, <ad.example.com>, <ldap.example.com>

   Copy to Clipboard Toggle word wrap

2. PAM 設定ファイルで `domains` オプションを設定して、PAM サービスが認証できるドメインを指定します。以下に例を示します。

   auth        sufficient    pam_sss.so forward_pass domains=<idm.example.com>
   account     [default=bad success=ok user_unknown=ignore] pam_sss.so
   password    sufficient    pam_sss.so use_authtok

   Copy to Clipboard Toggle word wrap

   この設定により、PAM サービスの認証先が <idm.example.com> だけに制限されます。

手順

1. 現在の認証設定をバックアップします。

   # authselect apply-changes -b --backup=ldap-configuration-backup

   Copy to Clipboard Toggle word wrap

2. SSSD パッケージをインストールします。

   # yum install sssd-ldap sssd-ad sssd-client \ sssd-common sssd-common-pac \ sssd-krb5 sssd-krb5-common

   Copy to Clipboard Toggle word wrap

3. nslcd および nscd サービスを停止して無効にします。

   # systemctl stop nslcd nscd
   # systemctl disable nslcd nscd

   Copy to Clipboard Toggle word wrap

4. SSSD で認証を設定します:

   # authselect select sssd with-mkhomedir --force

   Copy to Clipboard Toggle word wrap

5. SSSD 設定ファイルに必要な所有権と権限を設定します。

   # chown root:root /etc/sssd/sssd.conf
   # chmod 600 /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap
6. /etc/sssd/sssd.conf ファイルを開いて編集します。

7. 次の設定を入力し、example.com や dc=example,dc=com などの値をご使用の環境に適した値に置き換えます。

   [sssd]
   config_file_version = 2
   services = nss, pam
   domains = EXAMPLE.COM
   debug_level = 6
   
   [domain/EXAMPLE.COM]
   id_provider = ldap
   auth_provider = ldap
   ldap_uri = ldap://server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_default_bind_dn = CN=binddn,DC=example,DC=com
   ldap_default_authtok_type = password
   ldap_default_authtok = <bind_account_password>
   cache_credentials = True

   Copy to Clipboard Toggle word wrap
   注記

   SSSD 設定で LDAP スキーマを指定する必要がある場合があります。

   ディレクトリーサーバーで RFC-2307bis スキーマを使用している場合は、[domain/EXAMPLE.COM] セクションに次の行を追加します。

   ldap_schema = rfc2307bis

   Copy to Clipboard Toggle word wrap

   Microsoft Active Directory サーバーを使用している場合は、[domain/EXAMPLE.COM] セクションに次の行を追加して、LDAP ベースの認証を有効にします。

   ldap_schema = ad

   Copy to Clipboard Toggle word wrap

   Kerberos 認証が必要な場合、Red Hat は、SSSD サービスを自動的に設定する realm コマンドを使用して RHEL クライアントを AD ドメインに参加させることを推奨します。

8. SSSD サービスを有効にして開始します。

   # systemctl enable sssd
   # systemctl start sssd

   Copy to Clipboard Toggle word wrap

検証

1. LDAP ユーザーに関する情報を取得できることを確認します。

   # id ldapuser
    uid=100424(ldapuser) gid=100424(ldapuser) groups=100424(ldapuser)
   
   # getent passwd ldapuser
   ldapuser:*: 100424: 100424:User, LDAP:/home/ldapuser:/bin/bash

   Copy to Clipboard Toggle word wrap

2. LDAP ユーザーとしてログインできることを確認します。

   # ssh -l ldapuser localhost
   ldapuser@localhost's password:
   Last login: Tue Dec 07 19:34:35 2021 from localhost
   -sh-4.2$

   Copy to Clipboard Toggle word wrap

1. getent コマンドは、libc ライブラリーから getpwnam 呼び出しをトリガーします。
2. libc ライブラリーは、/etc/nsswitch.conf 設定ファイルを参照して、どのサービスがユーザー情報を提供するかを確認し、SSSD サービスのエントリー sss を検出します。
3. libc ライブラリーは、nss_sss モジュールを開きます。
4. nss_sss モジュールは、ユーザー情報のメモリーマップキャッシュを確認します。データがキャッシュに存在する場合は、nss_sss モジュールがそれを返します。
5. ユーザー情報が memory-mapped キャッシュにない場合、リクエストは SSSD sssd_nss レスポンダープロセスに渡されます。
6. SSSD サービスはキャッシュをチェックします。データがキャッシュに存在し、有効な場合は、sssd_nss レスポンダーがキャッシュからデータを読み取って、アプリケーションに返します。
7. データがキャッシュにない場合や期限切れである場合、sssd_nss レスポンダーは適切なバックエンドプロセスに対してクエリーを実行し、応答を待機します。SSSD サービスは、sssd.conf 設定ファイルで id_provider=ipa を設定して有効にした、IdM 環境の IPA バックエンドを使用します。
8. sssd_be バックエンドプロセスは IdM サーバーに接続して、IdM LDAP Directory Server から情報を要求します。
9. IdM サーバーの SSSD バックエンドは、IdM クライアントの SSSD バックエンドプロセスに対応します。
10. クライアントの SSSD バックエンドは、生成されるデータを SSSD キャッシュに保存し、キャッシュが更新されたレスポンダープロセスを警告します。
11. sssd_nss フロントエンドレスプロセスが SSSD キャッシュから情報を取得します。
12. sssd_nss レスポンダーは、nss_sss レスポンダーにユーザー情報を送信し、リクエストを完了します。
13. libc ライブラリーは、要求したアプリケーションにユーザー情報を返します。

1. IdM クライアントは、AD ユーザー情報に関するローカルの SSSD キャッシュを検索します。
2. IdM クライアントにユーザー情報がない場合や、情報が古い場合に、クライアントの SSSD サービスが IdM サーバーの extdom_extop プラグインに問い合わせて、LDAP 拡張操作を実行し、情報を要求します。
3. IdM サーバーの SSSD サービスは、ローカルキャッシュで AD ユーザー情報を検索します。
4. IdM サーバーに SSSD キャッシュにユーザー情報がない場合や、その情報が古い場合は、LDAP 検索を実行して、AD ドメインコントローラーからユーザー情報を要求します。
5. IdM サーバーの SSSD サービスは、AD ドメインコントローラーから AD ユーザー情報を受け取り、キャッシュに保存します。
6. extdom_extop プラグインは、LDAP 拡張操作を完了する IdM サーバーの SSSD サービスから情報を受信します。
7. IdM クライアントの SSSD サービスは、LDAP 拡張操作から AD ユーザー情報を受信します。
8. IdM クライアントは、AD ユーザー情報を SSSD キャッシュに保存し、要求したアプリケーションに情報を返します。

1. ssh コマンドで認証を試みると、libpam ライブラリーがトリガーされます。

2. libpam ライブラリーは、認証の試行を要求するサービスに対応する /etc/pam.d/ ディレクトリーの PAM ファイルを参照します。この例では、ローカルホストの SSH サービス経由で認証されている例では、libpam ライブラリーは /etc/pam.d/system-auth 設定ファイルを確認し、SSSD PAM の pam_sss.so エントリーを検出します。

   auth    sufficient    pam_sss.so

   Copy to Clipboard Toggle word wrap
3. 利用可能な認証方法を判断するため、libpam ライブラリーは pam_sss モジュールを開き、SSSD サービスの sssd _pam PAM レスポンダーに SSS_PAM_PREAUTH リクエストを送信します。
4. スマートカード認証が設定されていると、SSSD サービスは一時的な p11_child プロセスを生成し、スマートカードを確認し、そこから証明書を取得します。
5. ユーザーにスマートカード認証が設定されていると、sssd_pam レスポンダーは、スマートカードの証明書とユーザーを照合します。sssd_pam レスポンダーは、グループメンバーシップがアクセス制御に影響する可能性があるため、ユーザーが属するグループの検索も実行します。
6. sssd_pam レスポンダーは、SSS_PAM_PREAUTH 要求を sssd_be バックエンドレスに送信し、パスワードや 2 要素認証などのサーバーがサポートする認証方法を表示します。SSSD サービスが IPA レスポンダーを使用する IdM 環境では、デフォルトの認証方法は Kerberos です。この例では、ユーザーは簡単な Kerberos パスワードで認証されます。
7. sssd_be レスポンダーは一時的な krb5_child プロセスを起動します。
8. krb5_child プロセスは、IdM サーバーの KDC に連絡して、利用可能な認証方法を確認します。

9. KDC はリクエストに応答します。

   1. krb5_child プロセスは応答を評価し、結果を sssd_be バックエンドプロセスに送信します。
   2. sssd_be バックエンドプロセスが結果を受け取ります。
   3. sssd_pam レスポンダーは結果を受け取ります。
   4. pam_sss モジュールは結果を受け取ります。
10. ユーザーにパスワード認証が設定されていると、pam_sss モジュールにより、パスワードの入力が求められます。スマートカード認証が設定されていると、pam_sss モジュールにより、スマートカードの PIN の入力が求められます。

11. モジュールがユーザー名とパスワードを使用して SSS_PAM_AUTHENTICATE 要求を送信します。これは次の宛先に送信されます。

    1. sssd_pam レスポンダー。
    2. sssd_be バックエンドプロセス。
12. sssd_be プロセスは、KDC に問い合わせる一時的な krb5_child プロセスを起動します。
13. krb5_child process は、ユーザー名とパスワードを使用して KDC から Kerberos チケット保証チケット (TGT) の取得を試みます。
14. krb5_child プロセスは、認証の試行の結果を受け取ります。

15. krb5_child プロセス:

    1. TGT を認証情報キャッシュに保存します。
    2. sssd_be バックエンドプロセスに認証結果を返します。

16. 認証結果は sssd_be プロセスから以下を行います。

    1. sssd_pam レスポンダー。
    2. pam_sss モジュール。
17. pam_sss モジュールは、その他のアプリケーションが参照できるように、環境変数をユーザーの TGT の場所で設定します。

手順

1. SSSD サービスおよびそのプロセスが実行していることを確認します。

   [root@client ~]# pstree -a | grep sssd
     |-sssd -i --logger=files
     |   |-sssd_be --domain implicit_files --uid 0 --gid 0 --logger=files
     |   |-sssd_be --domain <domain_name> --uid 0 --gid 0 --logger=files
     |   |-sssd_ifp --uid 0 --gid 0 --logger=files
     |   |-sssd_nss --uid 0 --gid 0 --logger=files
     |   |-sssd_pac --uid 0 --gid 0 --logger=files
     |   |-sssd_pam --uid 0 --gid 0 --logger=files
     |   |-sssd_ssh --uid 0 --gid 0 --logger=files
     |   `-sssd_sudo --uid 0 --gid 0 --logger=files
     |-sssd_kcm --uid 0 --gid 0 --logger=files

   Copy to Clipboard Toggle word wrap

2. クライアントが IP アドレスを使用してユーザーデータベースサーバーに接続できることを確認します。

   [user@client ~]$ ping <IP_address_of_the_database_server>

   Copy to Clipboard Toggle word wrap

   この手順が失敗した場合は、ネットワークとファイアウォール設定が、IdM クライアントとサーバー間の直接通信が許可されていることを確認してください。firewalld の使用および設定 を参照してください。

3. クライアントが、完全修飾ホスト名を使用して IdM LDAP サーバー (IdM ユーザー用) または AD ドメインコントローラー (AD ユーザーの場合) を検出して連絡できることを確認します。

   [user@client ~]$ dig -t SRV ldap._tcp.<domain>@<server_name>
   [user@client ~]$ ping <fully_qualified_host_name_of_the_server>

   Copy to Clipboard Toggle word wrap

   この手順が失敗した場合は、/etc/resolv.conf ファイルを含む Dynamic Name Service (DNS) の設定を確認してください。DNS サーバーの順序の設定 を参照してください。

   注記

   デフォルトでは、SSSD サービスは DNS サービス (SRV) レコードを介して LDAP サーバーと AD DC を自動的に検出しようとします。SSSD を特定のサーバーに制限するには、sssd.conf 設定ファイルで次のオプションを使用してサーバーを定義します。

   • ipa_server = <fully_qualified_host_name_of_the_server>
   • ad_server = <fully_qualified_host_name_of_the_server>
   • ldap_uri = <fully_qualified_host_name_of_the_server>

   このオプションを使用する場合は、そのオプションに記載されているサーバーと通信できることを確認します。

4. クライアントが LDAP サーバーに対して認証でき、ldapsearch コマンドでユーザー情報を取得できることを確認します。

   1. LDAP サーバーが server.example.com などの IdM サーバーである場合は、ホストの Kerberos チケットを取得し、ホスト Kerberos プリンシパルで認証されるデータベース検索を実行します。

      [user@client ~]$ kinit -k 'host/client.example.com@EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.example.com -b “dc=example,dc=com” uid=<idm_user>

      Copy to Clipboard Toggle word wrap

   2. LDAP サーバーが server.example.com などの Active Directory (AD) Domain Controller (DC) サーバーである場合は、ホストの Kerberos チケットを取得し、ホスト Kerberos プリンシパルで認証されるデータベース検索を実行します。

      [user@client ~]$ kinit -k 'CLIENT$@AD.EXAMPLE.COM'
      [user@client ~]$ ldapsearch -LLL -Y GSSAPI -h server.ad.example.com -b “dc=example,dc=com” sAMAccountname=<idm_user>

      Copy to Clipboard Toggle word wrap

   3. LDAP サーバーがプレーン LDAP サーバーであり、sssd.conf ファイルに ldap_default_bind_dn および ldap_default_authtok オプションを設定した場合は、同じ ldap_default_bind_dn アカウントとして認証されます。

      [user@client ~]$ ldapsearch -xLLL -D "cn=ldap_default_bind_dn_value" -W -h ldapserver.example.com -b “dc=example,dc=com” uid=<idm_user>

      Copy to Clipboard Toggle word wrap

   この手順が失敗した場合は、データベース設定で、ホストが LDAP サーバーを検索できることを確認します。

5. SSSD サービスは Kerberos 暗号化を使用するため、ログインできないユーザーとして Kerberos チケットを取得できます。

   1. LDAP サーバーが IdM サーバーの場合:

      [user@client ~]$ kinit <idm_user>

      Copy to Clipboard Toggle word wrap

   2. LDAP サーバーデータベースが AD サーバーの場合:

      [user@client ~]$ kinit <ad_user@AD.EXAMPLE.COM>

      Copy to Clipboard Toggle word wrap

   この手順が失敗した場合は、Kerberos サーバーが適切に動作し、すべてのサーバーが同期され、ユーザーアカウントがロックされていないことを確認します。

6. コマンドラインに関するユーザー情報を取得できることを確認します。

   [user@client ~]$ getent passwd <idm_user>
   [user@client ~]$ id <idm_user>

   Copy to Clipboard Toggle word wrap

   この手順が失敗した場合は、クライアントの SSSD サービスがユーザーデータベースから情報を受信できることを確認します。

   1. /var/log/messages ログファイルのエラーを確認します。
   2. SSSD サービスで詳細なロギングを有効にし、デバッグログを収集して、問題のソースに関するログを確認します。
   3. オプション: Red Hat テクニカルサポートケースを作成し、収集したトラブルシューティング情報を提供します。

7. ホスト上で sudo 権限を持っている場合は、sssctl ユーティリティーを使用して、ユーザーがログインできるかどうかを確認します。

   [user@client ~]$ sudo sssctl user-checks -a auth -s ssh <idm_user>

   Copy to Clipboard Toggle word wrap

   この手順が失敗した場合は、PAM 設定、IdM HBAC ルール、IdM RBAC ルールなどの認可設定を確認します。

   1. ユーザーの UID が、/etc/login.defs ファイルで定義されている UID_MIN 以上であることを確認してください。
   2. /var/log/secure ログファイルおよび /var/log/messages ログファイルで認可エラーを確認します。
   3. SSSD サービスで詳細なロギングを有効にし、デバッグログを収集して、問題のソースに関するログを確認します。
   4. オプション: Red Hat テクニカルサポートケースを作成し、収集したトラブルシューティング情報を提供します。

手順

1. テキストエディターで /etc/sssd/sssd.conf ファイルを開きます。

2. debug_level オプションをファイルのすべてのセクションに追加し、デバッグレベルを、選択した詳細に設定します。

   [domain/<domain_name>]
   debug_level = 6
   id_provider = ipa
   ...
   
   [sssd]
   debug_level = 6
   services = nss, pam, ifp, ssh, sudo
   domains = <domain_name>
   
   [nss]
   debug_level = 6
   
   [pam]
   debug_level = 6
   
   [sudo]
   debug_level = 6
   
   [ssh]
   debug_level = 6
   
   [pac]
   debug_level = 6
   
   [ifp]
   debug_level = 6

   Copy to Clipboard Toggle word wrap
3. sssd.conf ファイルを保存して閉じます。

4. SSSD サービスを再起動して、新しい設定を読み込みます。

   [root@server ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap