1.8. Apache HTTP Web サーバーの Kerberos 認証の設定

手順

1. サービスプリンシパルを作成し、HTTP/<SERVER_NAME>@realm プリンシパルの keytab ファイルへのアクセスを有効にします。

   # ipa service-add HTTP/<SERVER_NAME>

2. /etc/gssproxy/http.keytab ファイルに保存されているプリンシパルの keytab を取得します。

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   このステップでは、パーミッションを 400 に設定すると、root ユーザーのみが keytab ファイルにアクセスできます。apache ユーザーは異なります。

3. 以下の内容で /etc/gssproxy/80-httpd.conf ファイルを作成します。

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

4. gssproxy サービスを再起動して、有効にします。

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

手順

1. /var/www/html/private/ ディレクトリーを保護するように mod_auth_gssapi を設定します。

   <Location /var/www/html/private>
     AuthType GSSAPI
     AuthName "GSSAPI Login"
     Require valid-user
   </Location>

2. システムユニット設定のドロップインファイルを作成します。

   # systemctl edit httpd.service

3. 次のパラメーターをシステムのドロップインファイルに追加します。

   [Service]
   Environment=GSS_USE_PROXY=1

4. systemd 設定をリロードします。

   # systemctl daemon-reload

5. httpd サービスを再起動します。

   # systemctl restart httpd.service

検証

1. Kerberos チケットを取得します。

   # kinit

2. ブラウザーで、保護されているディレクトリーの URL を開きます。