6.5. Simple アクセスプロバイダーのルール設定
simple アクセスプロバイダーは、ユーザー名またはグループのリストに基づいてアクセスを許可または拒否します。これにより、特定のマシンへのアクセスを制限できます。
たとえば、Simple アクセスプロバイダーを使用して、特定のユーザーまたはグループへのアクセスを制限できます。他のユーザーまたはグループは、設定済みの認証プロバイダーに対して正常に認証されている場合でもログインできません。
前提条件
-
rootアクセス
手順
-
/etc/sssd/sssd.confファイルを開きます。 access_providerオプションをsimpleに設定します。[domain/your-domain-name] access_provider = simpleユーザーのアクセス制御ルールを定義します。
-
ユーザーへのアクセスを許可するには、
simple_allow_usersオプションを使用します。 ユーザーへのアクセスを拒否するには、
simple_deny_usersオプションを使用します。重要特定のユーザーへのアクセスを拒否する場合には、他のユーザーすべてにアクセスを自動的に許可します。特定ユーザーにアクセスを許可する方が拒否するよりも安全であると考えられます。
-
ユーザーへのアクセスを許可するには、
グループのアクセス制御ルールを定義します。以下のいずれかを選択します。
-
グループへのアクセスを許可するには、
simple_allow_groupsオプションを使用します。 グループへのアクセスを拒否するには、
simple_deny_groupsオプションを使用します。重要特定のグループへのアクセスを拒否する場合には、他のグループすべてに、アクセスを自動的に許可します。特定グループにアクセスを許可する方が拒否するよりも安全であると考えられます。
例6.3 特定のユーザーおよびグループへのアクセス許可
以下の例では、他のユーザーすべてに対して、アクセスを拒否する一方で、user1、user2、および group1 のメンバーにアクセスを許可します。
[domain/your-domain-name] access_provider = simple simple_allow_users = user1, user2 simple_allow_groups = group1
-
グループへのアクセスを許可するには、
拒否リストを空にすると、すべてのユーザーがアクセスできるようになります。
信頼できる AD ユーザーを simple_allow_users リストに追加する場合は、必ず完全修飾ドメイン名 (FQDN) 形式 (例: aduser@ad.example.com) を使用してください。異なるドメインの短縮名は同じである可能性があるため、これによりアクセス制御設定に関する問題が回避されます。
関連情報
-
sssd-simpleの man ページ
