52.4. IdM サービスの認証インジケーターの有効化

前提条件

• サービスが、Kerberos プリンシパル、SSL 証明書、またはその両方を保存できる。

前提条件

• IdM ホストで実行するサービスの IdM サービスエントリーを作成した。IdM サービスエントリーおよびその Kerberos キータブの作成 を参照してください。
• IdM の管理ユーザーの Ticket-Granting Ticket を取得した。

手順

• ipa service-mod コマンドを使用して、サービスに必要な認証インジケーターを --auth-ind 引数で識別して指定します。

  Expand

  認証方法	--auth-ind 値
  2 要素認証	otp
  radius 認証	radius
  PKINIT、スマートカード、または証明書での認証	pkinit
  強化パスワード (SPAKE または FAST)	hardened

  Show more

  たとえば、スマートカードまたは OTP 認証で認証したユーザーには client.example.com ホストの testservice プリンシパルを取得させるようにするには、以下を実行します。

  [root@server ~]# ipa service-mod testservice/client.example.com@EXAMPLE.COM --auth-ind otp --auth-ind pkinit
  -------------------------------------------------------------
  Modified service "testservice/client.example.com@EXAMPLE.COM"
  -------------------------------------------------------------
    Principal name: testservice/client.example.com@EXAMPLE.COM
    Principal alias: testservice/client.example.com@EXAMPLE.COM
    Authentication Indicators: otp, pkinit
    Managed by: client.example.com

  Copy to Clipboard Toggle word wrap

• サービスからすべての認証インジケーターを削除するには、インジケーターの空のリストを指定します。

  [root@server ~]# ipa service-mod testservice/client.example.com@EXAMPLE.COM --auth-ind ''
  ------------------------------------------------------
  Modified service "testservice/client.example.com@EXAMPLE.COM"
  ------------------------------------------------------
    Principal name: testservice/client.example.com@EXAMPLE.COM
    Principal alias: testservice/client.example.com@EXAMPLE.COM
    Managed by: client.example.com

  Copy to Clipboard Toggle word wrap

検証

• ipa service-show コマンドを使用して、必要な認証インジケーターなど、IdM サービスに関する情報を表示します。

  [root@server ~]# ipa service-show testservice/client.example.com
    Principal name: testservice/client.example.com@EXAMPLE.COM
    Principal alias: testservice/client.example.com@EXAMPLE.COM
    Authentication Indicators: otp, pkinit
    Keytab: True
    Managed by: client.example.com

  Copy to Clipboard Toggle word wrap

前提条件

• 管理ユーザーとして IdM Web UI にログインしている。

前提条件

• 対応する IdM サービス エントリーを作成している (使用しているサービスが内部 IdM サービスではない場合)。IdM サービスエントリーおよびその Kerberos キータブの作成 を参照してください。
• Kerberos Ticket-Granting Ticket (TGT) がある。

手順

• サービスチケットを取得するには、kvno コマンドに -S オプションを指定して、IdM サービスの名前と管理するホストの完全修飾ドメイン名を指定します。

  [root@server ~]# kvno -S testservice client.example.com
  testservice/client.example.com@EXAMPLE.COM: kvno = 1

  Copy to Clipboard Toggle word wrap

検証

• klist コマンドを使用して、サービスチケットがデフォルトの Kerberos 認証情報キャッシュにあることを確認します。

  [root@server etc]# klist_
  Ticket cache: KCM:1000
  Default principal: admin@EXAMPLE.COM
  
  Valid starting       Expires              Service principal
  04/01/2020 12:52:42  04/02/2020 12:52:39  krbtgt/EXAMPLE.COM@EXAMPLE.COM
  04/01/2020 12:54:07 04/02/2020 12:52:39 testservice/client.example.com@EXAMPLE.COM

  Copy to Clipboard Toggle word wrap