第9章 スマートカードで PKINIT を使用した Active Directory ユーザーとしての認証

手順

1. スマートカード証明書を発行した CA を信頼するように Kerberos クライアントを設定します。

   1. IdM クライアントで、/etc/krb5.conf ファイルを開きます。

   2. ファイルに以下の行を追加します。

      [realms]
        AD.DOMAIN.COM = {
          pkinit_eku_checking = kpServerAuth
          pkinit_kdc_hostname = adserver.ad.domain.com
        }

2. ユーザー証明書に証明書失効リスト (CRL) ディストリビューションポイント拡張が含まれていない場合は、失効エラーを無視するように AD を設定します

   1. 以下の REG 形式のコンテンツをプレーンテキストファイルに保存し、Windows レジストリーにインポートします。

      Windows Registry Editor Version 5.00
      
      [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc]
      "UseCachedCRLOnlyAndIgnoreRevocationUnknownErrors"=dword:00000001
      
      [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Kerberos\Parameters]
      "UseCachedCRLOnlyAndIgnoreRevocationUnknownErrors"=dword:00000001

      または、regedit.exe アプリケーションを使用して手動で値を設定することもできます。

   2. Windows システムを再起動して変更を適用します。

3. Identity Management クライアントで kinit ユーティリティーを使用して認証します。Active Directory ユーザーに、ユーザー名とドメイン名を指定します。

   $ kinit -X X509_user_identity='PKCS11:opensc-pkcs11.so' ad_user@AD.DOMAIN.COM

   -X オプションは opensc-pkcs11.so module を pre-authentication 属性として指定します。