16.3. IdM での PKINIT の設定

手順

1. PKINIT がサーバーで有効になっているかどうかを確認します。

   # kinit admin
   
   Password for admin@IDM.EXAMPLE.COM:
   # ipa pkinit-status --server=server.idm.example.com
   1 server matched
   ----------------
   Server name: server.idm.example.com
   PKINIT status:enabled
   ----------------------------
   Number of entries returned 1
   ----------------------------

   Copy to Clipboard Toggle word wrap

   PKINIT が無効になっている場合は、次の出力が表示されます。

   # ipa pkinit-status --server server.idm.example.com
   -----------------
   0 servers matched
   -----------------
   ----------------------------
   Number of entries returned 0
   ----------------------------

   Copy to Clipboard Toggle word wrap

   --server <server_fqdn> パラメーターを省略することで、このコマンドを使用して、PKINIT が有効になっているすべてのサーバーを検索することもできます。

2. CA なしで IdM を使用している場合は、以下の手順を実行します。

   1. IdM サーバーに、Kerberos Key Distribution Center (KDC) 証明書に署名した CA 証明書をインストールします。

      # ipa-cacert-manage install -t CT,C,C ca.pem

      Copy to Clipboard Toggle word wrap

   2. すべての IPA ホストを更新するには、すべてのレプリカとクライアントで ipa-certupdate コマンドを繰り返し実行します。

      # ipa-certupdate

      Copy to Clipboard Toggle word wrap

   3. ipa-cacert-manage list コマンドを使用して、CA 証明書がすでに追加されているかどうかを確認します。以下に例を示します。

      # ipa-cacert-manage list
      CN=CA,O=Example Organization
      The ipa-cacert-manage command was successful

      Copy to Clipboard Toggle word wrap

   4. ipa-server-certinstall ユーティリティーを使用して、外部 KDC 証明書をインストールします。KDC 証明書は以下の条件を満たしている必要があります。

      • コモンネーム CN=fully_qualified_domain_name,certificate_subject_base で発行されている。
      • Kerberos プリンシパル krbtgt/REALM_NAME@REALM_NAME を含む。

      • KDC 認証のオブジェクト識別子 (OID) 1.3.6.1.5.2.3.5 を含む。

        # ipa-server-certinstall --kdc kdc.pem kdc.key
        
        # systemctl restart krb5kdc.service

        Copy to Clipboard Toggle word wrap

   5. PKINIT のステータスを確認します。

      # ipa pkinit-status
        Server name: server1.example.com
        PKINIT status: enabled
        [...output truncated...]
        Server name: server2.example.com
        PKINIT status: disabled
        [...output truncated...]

      Copy to Clipboard Toggle word wrap

3. CA 証明書のある IdM を使用している場合は、次のように PKINIT を有効にします。

   # ipa-pkinit-manage enable
     Configuring Kerberos KDC (krb5kdc)
     [1/1]: installing X509 Certificate for PKINIT
     Done configuring Kerberos KDC (krb5kdc).
     The ipa-pkinit-manage command was successful

   Copy to Clipboard Toggle word wrap

   IdM CA を使用している場合、コマンドは CA から PKINIT KDC 証明書を要求します。