42.11. ホストエントリーの無効化と再有効化
このセクションでは、Identity Management (IdM) でホストを無効にして再度有効にする方法を説明します。
42.11.1. ホストの無効化
IdM でホストエントリーを無効にするには、この手順を完了します。
ドメインサービス、ホスト、およびユーザーはアクティブなホストにアクセスできます。メンテナンス上の理由などで、アクティブなホストを一時的に削除することが必要になる場合があります。このような状況でホストを削除すると、ホストエントリーと、関連するすべての設定が完全に削除されるため、望ましくありません。代わりに、ホストを無効にするオプションを選択してください。
ホストを無効にすると、ドメインからドメインユーザーを完全に削除せずに、そのドメインにアクセスできなくなります。
手順
host-disableコマンドを使用してホストを無効にします。ホストを無効にすると、ホストで現在アクティブなキータブが強制終了します。以下に例を示します。$ kinit admin $ ipa host-disable client.example.com
ホストを無効にすると、ホストはすべての IdM ユーザー、ホスト、およびサービスが利用できなくなりました。
ホストエントリーを無効にすると、そのホストが無効になるだけではありません。そのホストで設定されているすべてのサービスも無効にします。
42.11.2. ホストの再有効化
無効な IdM ホストを再度有効にするには、次の手順に従います。
ホストを無効にすると、アクティブなキータブが強制的に終了し、設定エントリーを変更せずにホストが IdM ドメインから削除されます。
手順
ホストを再度有効にするには、以下を追加して、
ipa-getkeytabコマンドを使用します。-
キータブを要求する IdM サーバーを指定する
-sオプション -
プリンシパル名を指定する
-pオプション -
キータブを保存するファイルを指定する
-kオプション
-
キータブを要求する IdM サーバーを指定する
たとえば、client.example.com の server.example.com から新規ホストキータブを要求し、キータブを /etc/krb5.keytab ファイルに保存するには、次のコマンドを実行します。
$ ipa-getkeytab -s server.example.com -p host/client.example.com -k /etc/krb5.keytab -D "cn=directory manager" -w password
管理者の認証情報を使用して、-D "uid=admin,cn=users,cn=accounts,dc=example,dc=com" を指定することもできます。認証情報は、ホストのキータブの作成を許可されたユーザーに対応することが重要です。
ipa-getkeytab コマンドがアクティブな IdM クライアントまたはサーバーで実行する場合は、ユーザーが、kinit admin などを使用して TGT を取得した場合に、LDAP 認証情報 (-D および -w) を使用せずに実行できます。無効化されたホストでコマンドを直接実行するには、LDAP 認証情報を提供して IdM サーバーに認証します。
