第1章 RHEL における IdM とアクセス制御の概要
アイデンティティー管理 (IdM) を使用してアイデンティティー管理を集中化し、セキュリティー制御を実施し、ベストプラクティスとセキュリティーポリシーに準拠する方法について説明します。Linux 環境と Windows 環境の両方で IdM を実装するための一般的な顧客シナリオとソリューションを探ります。
1.1. IdM の概要
アイデンティティー管理 (IdM) は、Linux ベースのドメインでアイデンティティーストア、認証、ポリシー、認可ポリシーを集中的かつ統一的に管理する方法を提供します。
Red Hat Enterprise Linux における IdM の目的
IdM は、異なるサービスを個別に管理するオーバーヘッドと、異なるマシンで異なるツールを使用するオーバーヘッドを大幅に削減します。
IdM は、以下に対応する数少ない集中型 ID、ポリシー、および認証ソフトウェアです。
- Linux オペレーティングシステム環境の高度な機能
- Linux マシンの大規模なグループの一元化
- Active Directory とのネイティブな統合
IdM は、Linux ベースおよび Linux 制御のドメインを作成します。
- IdM は、既存のネイティブ Linux ツールとプロトコルを基盤とします。独自のプロセスと設定がありますが、その基盤となる技術は Linux システムで十分に確立されおり、Linux 管理者から信頼されています。
- IdM サーバーおよびクライアントは Red Hat Enterprise Linux マシンです。IdM クライアントは、標準プロトコルに対応してさえいれば別の Linux および UNIX のディストリビューションにすることもできます。Windows クライアントは IdM ドメインのメンバーにはなれませんが、Active Directory (AD) が管理する Windows システムにログインしているユーザーは、Linux クライアントに接続したり、IdM が管理するサーバーにアクセスしたりできます。これは、AD ドメインと IdM ドメインとの間に、フォレスト間の信頼関係を確立することで実現します。
複数の Linux サーバーにおける ID およびポリシーの管理
IdM を使用しない場合 - 各サーバーが個別に管理されます。パスワードはすべてローカルマシンに保存されます。IT 管理者は、すべてのマシンでユーザーを管理し、認証ポリシーおよび認可ポリシーを別々に設定し、ローカルパスワードを維持します。ただし、多くの場合は、AD を用いた直接統合など、その他の集中型ソリューションを使用することになります。システムは、複数のソリューションを使用して AD に直接統合できます。
- レガシーの Linux ツール (使用は推奨されません)
- Samba winbind に基づくソリューション (特定のユースケースでのみ推奨)
- サードパーティー製ソフトウェアに基づくソリューション (通常は、他のベンダーのライセンスが必要)
- SSSD に基づくソリューション (ネイティブ Linux と、ほとんどのユースケースに推奨)
IdM を使用する場合 - IT 管理者は以下が可能になります。
- ID を一か所で管理 - IdM サーバー
- 複数のマシンで同時にポリシーを均一に適用
- ホストベースのアクセス制御、委譲などのルールを使用してユーザーに異なるアクセスレベルを設定
- 権限昇格ルールの一元管理
- ホームディレクトリーのマウント方法の定義
エンタープライズ SSO
IdM Enterprise の場合、シングルサインオン (SSO) は Kerberos プロトコルを使用して実装されます。このプロトコルは、インフラストラクチャーレベルで一般的であり、SSH、LDAP、NFS、CUPS、DNS などのサービスで SSO を有効にします。別の Web スタック (Apache、EAP、Django など) を使用した Web サービスでも、SSO に Kerberos を使用できます。ただし、実際には、Web アプリケーションには SSO を基にした OpenID Connect または SAML を使用する方が便利です。2 つの層をブリッジするには、Kerberos 認証を OpenID Connect チケットまたは SAML アサーションに変換できる Identity Provider (IdP) ソリューションをデプロイすることが推奨されます。Keycloak オープンソースプロジェクトに基づく Red Hat SSO テクノロジーは、このような IdP の一例です。
IdM を使用しない場合 - ユーザーはシステムにログインし、サービスやアプリケーションにアクセスする度にパスワードを求められます。これらのパスワードは異なる場合もあるため、アプリケーションごとに使用する認証情報を覚えている必要があります。
IdM を使用する場合 - システムにログインすると、認証情報を繰り返し聞かれることなく、複数のサービスやアプリケーションにアクセスできます。これにより、以下が可能になります。
- ユーザービリティーの向上
- パスワードを書き留めたり安全でない場所に保存したりすることによるセキュリティーリスクの低減
- ユーザーの生産性向上
Linux と Windows の混合環境の管理
IdM を使用しない場合 - Windows システムは AD フォレストで管理されますが、開発、実稼働環境などのチームは Linux システムを多数使用します。Linux システムは、AD 環境から除外されます。
IdM を使用する場合 - IT 管理者は以下が可能になります。
- ネイティブの Linux ツールを使用して Linux システムを管理する
- Active Directory により一元管理されている環境に Linux システムを統合して、一元管理されたユーザーストアを保護する
- 規模に応じて、または必要に応じて、新しい Linux システムを簡単にデプロイする
- 他のチームに依存することなく遅延を回避しながら、ビジネスニーズに迅速に対応し、Linux インフラストラクチャーの管理に関連する決定を下す
IdM と標準 LDAP ディレクトリーの比較
Red Hat Directory Server などの標準 LDAP ディレクトリーは汎用ディレクトリーで、幅広いユースケースに適用するようにカスタマイズできます。
- スキーマー - ユーザー、マシン、ネットワークエンティティー、物理的設備、建物といった非常に幅広いエントリー用にカスタマイズ可能な柔軟性のあるスキーマー
- 典型的な使用例 - インターネット上でサービスを提供するビジネスアプリケーションなど、他のアプリケーションのデータを保存するバックエンドのディレクトリー
IdM には、企業内 ID と、その ID に関連する認証ポリシーおよび認可ポリシーを管理するという特定の目的があります。
- スキーマー - ユーザーやマシンの ID のエントリーといった特定の目的に関連するエントリーセットを定義する特定のスキーマ
- 典型的な使用例 - 企業やプロジェクトの境界内におけるアイデンティティーを管理する ID および認証サーバー
Red Hat Directory Server と IdM では、基礎となるディレクトリーサーバーの技術は同じです。ただし、IdM は企業内の ID 管理用に最適化されています。これにより全般的な拡張性は制限されますが、シンプルな設定、リソース管理の自動化の改善、企業の ID 管理における効率性の向上などの利点がもたらされます。
関連情報
- Red Hat Enterprise Linux Blog のブログ投稿 Identity Management or Red Hat Directory Server – Which One Should I Use?
- 標準プロトコル に関するナレッジベースの記事
