Identity Management のインストール

手順

1. firewalld サービスが実行されていることを確認します。

   • firewalld が実行中であることを確認するには、次のコマンドを実行します。

     # systemctl status firewalld.service

     Copy to Clipboard Toggle word wrap

   • firewalld を起動し、システム起動時に自動的に起動するように設定するには、次のコマンドを実行します。

     # systemctl start firewalld.service
     # systemctl enable firewalld.service

     Copy to Clipboard Toggle word wrap

2. firewall-cmd ユーティリティーを使用して必要なポートを開きます。以下のいずれかのオプションを選択します。

   1. firewall-cmd --add-port コマンドを使用して個別のポートをファイアウォールに追加します。たとえば、デフォルトゾーンでポートを開くには、次のコマンドを実行します。

      # firewall-cmd --permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp}

      Copy to Clipboard Toggle word wrap

   2. firewall-cmd --add-service コマンドを使用して、firewalld サービスをファイアウォールに追加します。たとえば、デフォルトゾーンでポートを開くには、次のコマンドを実行します。

      # firewall-cmd --permanent --add-service={freeipa-4,dns}

      Copy to Clipboard Toggle word wrap

      firewall-cmd を使用してシステムでポートを開く方法は firewall-cmd(1) の man ページを参照してください。

3. firewall-cmd 設定を再ロードして、変更が即座に反映されるようにします。

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

   実稼働システムで firewalld を再ロードすると、DNS の接続がタイムアウトになる可能性があることに注意してください。必要な場合は、以下の例のように firewall-cmd コマンドで --runtime-to-permanent オプションを指定して、タイムアウトが発生しないようにし、変更を永続化します。

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

手順

1. オプション: 現在の umask を表示します。

   # umask
   0027

   Copy to Clipboard Toggle word wrap

2. umask を 0022 に設定します。

   # umask 0022

   Copy to Clipboard Toggle word wrap

3. オプション: IdM のインストールが完了したら、umask を元の値に戻します。

   # umask 0027

   Copy to Clipboard Toggle word wrap

手順

1. ipa-server-install ユーティリティーを実行します。

   # ipa-server-install

   Copy to Clipboard Toggle word wrap

2. スクリプトにより、統合 DNS サービスの設定が求められます。yes を入力します。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard Toggle word wrap

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、Identity Management (IdM) の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. スクリプトにより、サーバーごとの DNS フォワーダー設定のプロンプトが表示されます。

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard Toggle word wrap

   • サーバーごとの DNS フォワーダーを設定するには、yes を入力して表示されたコマンドラインの指示に従います。インストールプロセスにより、IdM LDAP にフォワーダーの IP アドレスが追加されます。

     • フォワードポリシーのデフォルト設定は、ipa-dns-install(1) の man ページに記載されている --forward-policy の説明を参照してください。

   • DNS 転送を使用しない場合は、no と入力します。

     DNS フォワーダーがないと、IdM ドメインのホストは、インフラストラクチャー内にある他の内部 DNS ドメインから名前を解決できません。ホストは、DNS クエリーを解決するためにパブリック DNS サーバーでのみ残ります。

6. そのサーバーと関連する IP アドレスの DNS 逆引き (PTR) レコードを設定する必要性を確認するスクリプトプロンプトが出されます。

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard Toggle word wrap

   検索を実行して欠落している逆引きゾーンが見つかると、PTR レコードの逆引きゾーンを作成するかどうかが尋ねられます。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard Toggle word wrap
   注記

   オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

7. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap
8. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

9. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

   1. 親ドメインから IdM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

      重要

      IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

   2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールされた IdM サーバーのタイムサーバーの SRV レコードが存在すると、今後のレプリカとクライアントのインストールは、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように自動的に設定されます。

手順

1. オプションで必要な情報をすべて指定して、ipa-server-install ユーティリティーを実行します。非対話型インストールで最低限必要なオプションは次のとおりです。

   • --realm - Kerberos レルム名を指定します。
   • --ds-password - Directory Server のスーパーユーザーである Directory Manager (DM) のパスワードを指定します。
   • --admin-password - Identity Management (IdM) の管理者である admin のパスワードを指定します。
   • --unattended - インストールプロセスでホスト名およびドメイン名のデフォルトオプションを選択するようにします。

   統合 DNS のあるサーバーをインストールする場合は、以下のオプションも追加します。

   • --setup-dns - 統合 DNS 名を設定します。
   • --forwarder または --no-forwarders - DNS フォワーダーを設定するかを指定します。
   • --auto-reverse または --no-reverse - IdM DNS で作成する必要がある逆引き DNS ゾーンの自動検出を設定するかどうかを指定します。

   以下に例を示します。

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended --setup-dns --forwarder 192.0.2.1 --no-reverse

   Copy to Clipboard Toggle word wrap

2. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

   1. 親ドメインから IdM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

      重要

      IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

   2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールされた IdM サーバーのタイムサーバーの SRV レコードが存在すると、今後のレプリカとクライアントのインストールは、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように自動的に設定されます。

手順

1. --external-ca オプションを使用して ipa-server-install ユーティリティーを実行します。

   # ipa-server-install --external-ca

   Copy to Clipboard Toggle word wrap

   • Microsoft 証明書サービス (MS CS) CA を使用している場合は、--external-ca-type オプションと、任意で --external-ca-profile オプションを使用します。

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

     Copy to Clipboard Toggle word wrap

   • MS CS を使用して IdM CA の署名証明書を生成していない場合は、他のオプションは必要ありません。

     # ipa-server-install --external-ca

     Copy to Clipboard Toggle word wrap

2. スクリプトにより、統合 DNS サービスの設定が求められます。yes または no を入力します。この手順では、統合 DNS のあるサーバーをインストールします。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard Toggle word wrap
   注記

   統合 DNS のないサーバーをインストールする場合は、以下の手順にある DNS 設定のプロンプトが表示されません。DNS のないサーバーをインストールする手順の詳細は、5章IdM サーバーのインストール: 統合 DNS を使用せず、統合 CA をルート CA として使用する場合 を参照してください。

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、Identity Management (IdM) の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. スクリプトにより、サーバーごとの DNS フォワーダー設定のプロンプトが表示されます。

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard Toggle word wrap

   • サーバーごとの DNS フォワーダーを設定するには、yes を入力して表示されたコマンドラインの指示に従います。インストールプロセスにより、IdM LDAP にフォワーダーの IP アドレスが追加されます。

     • フォワードポリシーのデフォルト設定は、ipa-dns-install(1) の man ページに記載されている --forward-policy の説明を参照してください。

   • DNS 転送を使用しない場合は、no と入力します。

     DNS フォワーダーがないと、IdM ドメインのホストは、インフラストラクチャー内にある他の内部 DNS ドメインから名前を解決できません。ホストは、DNS クエリーを解決するためにパブリック DNS サーバーでのみ残ります。

6. そのサーバーと関連する IP アドレスの DNS 逆引き (PTR) レコードを設定する必要性を確認するスクリプトプロンプトが出されます。

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard Toggle word wrap

   検索を実行して欠落している逆引きゾーンが見つかると、PTR レコードの逆引きゾーンを作成するかどうかが尋ねられます。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard Toggle word wrap
   注記

   オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

7. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap

8. Certificate System インスタンスの設定時、このユーティリティーが証明書署名要求 (CSR) の場所 (/root/ipa.csr) を出力します。

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard Toggle word wrap

   この場合は、以下を行います。

   1. /root/ipa.csr にある CSR を外部 CA に提出します。このプロセスは、外部 CA として使用するサービスにより異なります。

   2. 発行した証明書と、Base64 エンコードされたブロブ (PEM ファイルか Windows CA からの Base_64 証明書) で CA を発行する CA 証明書チェーンを取得します。繰り返しになりますが、プロセスは各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が必要なすべての証明書をダウンロードできるようになっています。

      重要

      CA 証明書のみではなく、CA 用の完全な証明書チェーンを取得してください。

   3. 新たに発行された CA 証明書と CA チェーンファイルの場所と名前を指定して ipa-server-install を再度実行します。以下に例を示します。

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

      Copy to Clipboard Toggle word wrap
9. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

10. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

    1. 親ドメインから IdM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

       重要

       IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

    2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールされた IdM サーバーのタイムサーバーの SRV レコードが存在すると、今後のレプリカとクライアントのインストールは、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように自動的に設定されます。

1. 次のシェルスクリプトを使用して *_proxy 環境変数の設定を解除します。

   # for i in ftp http https; do unset ${i}_proxy; done

   Copy to Clipboard Toggle word wrap

2. pkidestroy ユーティリティーを実行して、インストールに失敗した認証局 (CA) サブシステムを削除します。

   # pkidestroy -s CA -i pki-tomcat; rm -rf /var/log/pki/pki-tomcat /etc/sysconfig/pki-tomcat /etc/sysconfig/pki/tomcat/pki-tomcat /var/lib/pki/pki-tomcat /etc/pki/pki-tomcat /root/ipa.csr

   Copy to Clipboard Toggle word wrap

3. インストールに失敗した Identity Management (IdM) サーバーを削除します。

   # ipa-server-install --uninstall

   Copy to Clipboard Toggle word wrap
4. ipa-server-install --external-ca を再度実行します。

手順

1. ipa-server-install ユーティリティーを実行し、必要な証明書をすべて提供します。以下に例を示します。

   [root@server ~]# ipa-server-install \
       --http-cert-file /tmp/server.crt \
       --http-cert-file /tmp/server.key \
       --http-pin secret \
       --dirsrv-cert-file /tmp/server.crt \
       --dirsrv-cert-file /tmp/server.key \
       --dirsrv-pin secret \
       --ca-cert-file ca.crt

   Copy to Clipboard Toggle word wrap

   提供される証明書の詳細は、CA なしで IdM サーバーをインストールするために必要な証明書 を参照してください。

2. スクリプトにより、統合 DNS サービスの設定が求められます。yes または no を入力します。この手順では、統合 DNS のあるサーバーをインストールします。

   Do you want to configure integrated DNS (BIND)? [no]: yes

   Copy to Clipboard Toggle word wrap
   注記

   統合 DNS のないサーバーをインストールする場合は、以下の手順にある DNS 設定のプロンプトが表示されません。DNS なしでサーバーをインストールする手順の詳細は、IdM サーバーのインストール: 統合 DNS を使用せず、統合 CA をルート CA として使用する場合 を参照してください。

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、Identity Management (IdM) の管理者システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. スクリプトにより、サーバーごとの DNS フォワーダー設定のプロンプトが表示されます。

   Do you want to configure DNS forwarders? [yes]:

   Copy to Clipboard Toggle word wrap

   • サーバーごとの DNS フォワーダーを設定するには、yes を入力して表示されたコマンドラインの指示に従います。インストールプロセスにより、IdM LDAP にフォワーダーの IP アドレスが追加されます。

     • フォワードポリシーのデフォルト設定は、ipa-dns-install(1) の man ページに記載されている --forward-policy の説明を参照してください。

   • DNS 転送を使用しない場合は、no と入力します。

     DNS フォワーダーがないと、IdM ドメインのホストは、インフラストラクチャー内にある他の内部 DNS ドメインから名前を解決できません。ホストは、DNS クエリーを解決するためにパブリック DNS サーバーでのみ残ります。

6. そのサーバーと関連する IP アドレスの DNS 逆引き (PTR) レコードを設定する必要性を確認するスクリプトプロンプトが出されます。

   Do you want to search for missing reverse zones? [yes]:

   Copy to Clipboard Toggle word wrap

   検索を実行して欠落している逆引きゾーンが見つかると、PTR レコードの逆引きゾーンを作成するかどうかが尋ねられます。

   Do you want to create reverse zone for IP 192.0.2.1 [yes]:
   Please specify the reverse zone name [2.0.192.in-addr.arpa.]:
   Using reverse zone(s) 2.0.192.in-addr.arpa.

   Copy to Clipboard Toggle word wrap
   注記

   オプションで、逆引きゾーンの管理に IdM を使用できます。代わりに、この目的で外部 DNS サービスを使用することもできます。

7. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap
8. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

9. インストールスクリプトが完了したら、次の方法で DNS レコードを更新します。

   1. 親ドメインから IdM DNS ドメインに DNS 委譲を追加します。たとえば、IdM DNS ドメインが idm.example.com の場合は、ネームサーバー (NS) レコードを親ドメイン example.com に追加します。

      重要

      IdM DNS サーバーをインストールするたびに、この手順を繰り返します。

   2. タイムサーバーの _ntp._udp サービス (SRV) レコードを IdM DNS に追加します。IdM DNS に新たにインストールされた IdM サーバーのタイムサーバーの SRV レコードが存在すると、今後のレプリカとクライアントのインストールは、このプライマリー IdM サーバーが使用するタイムサーバーと同期するように自動的に設定されます。

手順

1. ipa-server-install ユーティリティーを実行します。

   # ipa-server-install

   Copy to Clipboard Toggle word wrap

2. スクリプトにより、統合 DNS サービスの設定が求められます。Enter を押して、no オプションを選択します。

   Do you want to configure integrated DNS (BIND)? [no]:

   Copy to Clipboard Toggle word wrap

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、IdM の管理システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     NetBIOS domain name [EXAMPLE]:
     Do you want to configure chrony with NTP server or pool address? [no]:

     Copy to Clipboard Toggle word wrap

6. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap
7. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

8. インストールスクリプトは、以下の出力例の DNS リソースレコードでファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos._tcp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos._udp.example.com. 86400 IN SRV 0 100 88 server.example.com.
   _kerberos.example.com. 86400 IN TXT "EXAMPLE.COM"
   _kpasswd._tcp.example.com. 86400 IN SRV 0 100 464 server.example.com.
   _kpasswd._udp.example.com. 86400 IN SRV 0 100 464 server.example.com.
   _ldap._tcp.example.com. 86400 IN SRV 0 100 389 server.example.com.

   Copy to Clipboard Toggle word wrap
   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

手順

1. 必要に応じて必要な情報をすべて指定して、ipa-server-install ユーティリティーを実行します。非対話型インストールで最低限必要なオプションは次のとおりです。

   • --realm - Kerberos レルム名を指定します。
   • --ds-password - Directory Server のスーパーユーザーである Directory Manager (DM) のパスワードを指定します。
   • --admin-password - IdM 管理者である admin のパスワードを指定します。
   • --unattended - インストールプロセスでホスト名およびドメイン名のデフォルトオプションを選択するようにします。

   以下に例を示します。

   # ipa-server-install --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

   Copy to Clipboard Toggle word wrap

2. インストールスクリプトは、以下の出力例の DNS リソースレコードでファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard Toggle word wrap
   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

手順

1. --external-ca オプションを使用して ipa-server-install ユーティリティーを実行します。

   • Microsoft 証明書サービス (MS CS) CA を使用している場合は、--external-ca-type オプションと、任意で --external-ca-profile オプションを使用します。

     [root@server ~]# ipa-server-install --external-ca --external-ca-type=ms-cs --external-ca-profile=<oid>/<name>/default

     Copy to Clipboard Toggle word wrap

   • MS CS を使用して IdM CA の署名証明書を生成していない場合は、他のオプションは必要ありません。

     # ipa-server-install --external-ca

     Copy to Clipboard Toggle word wrap

2. スクリプトにより、統合 DNS サービスの設定が求められます。Enter を押して、no オプションを選択します。

   Do you want to configure integrated DNS (BIND)? [no]:

   Copy to Clipboard Toggle word wrap

3. このスクリプトでは、いくつかの設定を入力することが求められます。括弧で囲まれた値が推奨されるデフォルト値になります。

   • デフォルト値を使用する場合は Enter を押します。

   • カスタム値を指定する場合は、指定する値を入力します。

     Server host name [server.idm.example.com]:
     Please confirm the domain name [idm.example.com]:
     Please provide a realm name [IDM.EXAMPLE.COM]:

     Copy to Clipboard Toggle word wrap
     警告

     名前は慎重に指定してください。インストール完了後に変更することはできません。

4. Directory Server のスーパーユーザー (cn=Directory Manager) のパスワードと、IdM の管理システムユーザーアカウント (admin) のパスワードを入力します。

   Directory Manager password:
   IPA admin password:

   Copy to Clipboard Toggle word wrap

5. サーバー設定をする場合は、yes と入力します。

   Continue to configure the system with these values? [no]: yes

   Copy to Clipboard Toggle word wrap

6. Certificate System インスタンスの設定時、このユーティリティーが証明書署名要求 (CSR) の場所 (/root/ipa.csr) を出力します。

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard Toggle word wrap

   この場合は、以下を行います。

   1. /root/ipa.csr にある CSR を外部 CA に提出します。このプロセスは、外部 CA として使用するサービスにより異なります。

   2. 発行した証明書と、Base64 エンコードされたブロブ (PEM ファイルか Windows CA からの Base_64 証明書) で CA を発行する CA 証明書チェーンを取得します。繰り返しになりますが、プロセスは各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が必要なすべての証明書をダウンロードできるようになっています。

      重要

      CA 証明書のみではなく、CA 用の完全な証明書チェーンを取得してください。

   3. 新たに発行された CA 証明書と CA チェーンファイルの場所と名前を指定して ipa-server-install を再度実行します。以下に例を示します。

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem

      Copy to Clipboard Toggle word wrap
7. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

8. インストールスクリプトは、以下の出力例の DNS リソースレコードでファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard Toggle word wrap
   重要

   既存の DNS サーバーに DNS レコードを追加するまで、サーバーのインストールは完了しません。

手順

1. 必要に応じて必要な情報をすべて指定して、ipa-server-install ユーティリティーを実行します。外部 CA をルート CA として使用する IdM サーバーを非対話的にインストールする場合の最小要件オプションは以下のとおりです。

   • --external-ca - 外部 CA をルート CA として指定します。
   • --realm - Kerberos レルム名を指定します。
   • --ds-password - Directory Server のスーパーユーザーである Directory Manager (DM) のパスワードを指定します。
   • --admin-password - IdM 管理者である admin のパスワードを指定します。

   • --unattended - インストールプロセスでホスト名およびドメイン名のデフォルトオプションを選択するようにします。

     以下に例を示します。

     # ipa-server-install --external-ca --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

     Copy to Clipboard Toggle word wrap

   Microsoft 証明書サービス (MS CS) CA を使用している場合は、--external-ca-type オプションと、任意で --external-ca-profile オプションを使用します。詳細は、ルート CA として外部 CA と共に IdM CA をインストールする際に使用されるオプション を参照してください。

2. Certificate System インスタンスの設定時、このユーティリティーが証明書署名要求 (CSR) の場所 (/root/ipa.csr) を出力します。

   ...
   
   Configuring certificate server (pki-tomcatd). Estimated time: 3 minutes
     [1/11]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /usr/sbin/ipa-server-install as:
   /usr/sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate
   The ipa-server-install command was successful

   Copy to Clipboard Toggle word wrap

   この場合は、以下を行います。

   1. /root/ipa.csr にある CSR を外部 CA に提出します。このプロセスは、外部 CA として使用するサービスにより異なります。

   2. 発行した証明書と、Base64 エンコードされたブロブ (PEM ファイルか Windows CA からの Base_64 証明書) で CA を発行する CA 証明書チェーンを取得します。繰り返しになりますが、プロセスは各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が必要なすべての証明書をダウンロードできるようになっています。

      重要

      CA 証明書のみではなく、CA 用の完全な証明書チェーンを取得してください。

   3. 新たに発行された CA 証明書と CA チェーンファイルの場所と名前を指定して ipa-server-install を再度実行します。以下に例を示します。

      # ipa-server-install --external-cert-file=/tmp/servercert20170601.pem --external-cert-file=/tmp/cacert.pem --realm IDM.EXAMPLE.COM --ds-password DM_password --admin-password admin_password --unattended

      Copy to Clipboard Toggle word wrap
3. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

4. インストールスクリプトは、以下の出力例の DNS リソースレコードでファイル (/tmp/ipa.system.records.UFRPto.db) を生成します。これらのレコードを既存の外部 DNS サーバーに追加します。DNS レコードの更新プロセスは、特定の DNS ソリューションによって異なります。

   ...
   Restarting the KDC
   Please add records in this file to your DNS system: /tmp/ipa.system.records.UFRBto.db
   Restarting the web server
   ...

   Copy to Clipboard Toggle word wrap

手順

1. PKCS #11 ライブラリーの場所、トークン名、トークンパスワードを指定して、インストールコマンドを実行します。

   ipa-server-install -a <password> -p <dmpassword>-r <IDM.EXAMPLE.COM> -U --setup-dns --allow-zone-overlap --no-forwarders -N --auto-reverse --random-serial-numbers -–token-name=<HSM-TOKEN> --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so

   Copy to Clipboard Toggle word wrap
2. プロンプトが表示されたらトークンのパスワードを指定します。

検証

1. certutil を実行して CA 証明書情報を表示します。

   certutil -L -d /etc/pki/pki-tomcat/alias
   
   Certificate Nickname                    Trust Attributes
                                           SSL,S/MIME,JAR/XPI
   
   caSigningCert cert-pki-ca               CT,C,C
   ocspSigningCert cert-pki-ca             ,,
   Server-Cert cert-pki-ca                 u,u,u
   subsystemCert cert-pki-ca               ,,
   auditSigningCert cert-pki-ca            ,,P

   Copy to Clipboard Toggle word wrap

   証明書の信頼属性の下に u がリストされていない場合は、秘密鍵がトークンに保存されていることを示します。この場合、パフォーマンス上の理由から HSM にインストールされていないため、Server-Cert cert-pki-ca のみに u フラグが設定されます。

2. キーと証明書が HSM に保存されていることを確認します。

   certutil -L -d /etc/pki/pki-tomcat/alias -h <HSM-TOKEN>
   
   Certificate Nickname                                Trust Attributes
   	   SSL,S/MIME,JAR/XPI
   
   Enter Password or Pin for "<HSM-TOKEN>":
   <HSM-TOKEN>:subsystemCert cert-pki-ca                  	u,u,u
   <HSM-TOKEN>:ocspSigningCert cert-pki-ca                	u,u,u
   <HSM-TOKEN>:caSigningCert cert-pki-ca                  	CTu,Cu,Cu
   <HSM-TOKEN>:auditSigningCert cert-pki-ca               	u,u,Pu

   Copy to Clipboard Toggle word wrap

   証明書名の先頭には HSM トークン名がついています。これは、秘密鍵と証明書がトークンに保存されていることを示します。

   キーが保存される場所は、ユーザーが証明書を取得または使用する方法には影響しません。

手順

1. 必ず外部 CA を使用していることを指定して、インストールコマンドを実行します。

   # ipa-server-install --external-ca

   Copy to Clipboard Toggle word wrap

   インストールプロセス中に、ユーティリティーは証明書署名要求 (CSR) の場所 /root/ipa.csr を出力します。

   ...
   
   Configuring certificate server (pki-tomcatd): Estimated time 3 minutes 30 seconds
     [1/8]: creating certificate server user
     [2/8]: configuring certificate server instance
   The next step is to get /root/ipa.csr signed by your CA and re-run /sbin/ipa-server-install as:
   /sbin/ipa-server-install --external-cert-file=/path/to/signed_certificate --external-cert-file=/path/to/external_ca_certificate

   Copy to Clipboard Toggle word wrap

2. インストールユーティリティーによって生成された CSR を使用して証明書プロセスを完了するには、次の手順を実行します。

   1. /root/ipa.csr にある CSR を外部 CA に提出します。このプロセスは、外部 CA として使用するサービスにより異なります。

   2. 発行した証明書と、Base64 エンコードされたブロブ (PEM ファイルか Windows CA からの Base_64 証明書) で CA を発行する CA 証明書チェーンを取得します。繰り返しになりますが、プロセスは各証明書サービスによって異なります。通常は Web ページか通知メールにダウンロードリンクがあり、管理者が必要なすべての証明書をダウンロードできるようになっています。

      重要

      CA 証明書だけでなく、CA の完全な証明書チェーンを取得します。

3. ipa-server-install ユーティリティーを再度実行して、新しく発行された CA 証明書と CA チェーンファイルのパスと名前、PKCS #11 ライブラリーの場所、トークン名、およびトークンパスワードを指定します。

   # ipa-server-install --external-cert-file=</tmp/servercert20170601.pem> --external-cert-file=</tmp/cacert.pem> -–token-name=<HSM-TOKEN> --token-library-path=/opt/nfast/toolkits/pkcs11/libcknfast.so

   Copy to Clipboard Toggle word wrap
4. プロンプトが表示されたらトークンのパスワードを指定します。
5. インストールスクリプトにより、サーバーが設定されます。動作が完了するまで待ちます。

検証

1. certutil を実行して CA 証明書情報を表示します。

   certutil -L -d /etc/pki/pki-tomcat/alias
   
   Certificate Nickname                    Trust Attributes
                                           SSL,S/MIME,JAR/XPI
   
   caSigningCert cert-pki-ca               CT,C,C
   ocspSigningCert cert-pki-ca             ,,
   Server-Cert cert-pki-ca                 u,u,u
   subsystemCert cert-pki-ca               ,,
   auditSigningCert cert-pki-ca            ,,P

   Copy to Clipboard Toggle word wrap

   証明書は表示されます。ただし ,, はトークンに保存されているため秘密鍵がないことを示します。

2. キーと証明書が HSM に保存されていることを確認します。

   certutil -L -d /etc/pki/pki-tomcat/alias - h <HSM-TOKEN>
   
   Certificate Nickname                                Trust Attributes
   	   SSL,S/MIME,JAR/XPI
   
   Enter Password or Pin for "<HSM-TOKEN>":
   <HSM-TOKEN>:subsystemCert cert-pki-ca                  	u,u,u
   <HSM-TOKEN>:ocspSigningCert cert-pki-ca                	u,u,u
   <HSM-TOKEN>:caSigningCert cert-pki-ca                  	CTu,Cu,Cu
   <HSM-TOKEN>:auditSigningCert cert-pki-ca               	u,u,Pu

   Copy to Clipboard Toggle word wrap

   証明書名の先頭には HSM トークン名がついています。これは、秘密鍵と証明書がトークンに保存されていることを示します。

   キーが保存される場所は、ユーザーが証明書を取得または使用する方法には影響しません。

手順

1. トークン名を指定してインストールコマンドを実行します。

   # ipa-replica-install --token-name=<HSM-TOKEN> --setup-ca -P admin -w <password> -U

   Copy to Clipboard Toggle word wrap
2. プロンプトが表示されたらトークンのパスワードを指定します。

手順

1. トークン名とトークンパスワードを指定して、install コマンドを実行します。

   # ipa-kra-install -p <password>

   Copy to Clipboard Toggle word wrap
2. プロンプトが表示されたらトークンのパスワードを指定します。

手順

1. KRA クローンをインストールするには、レプリカで次のコマンドを実行します。

   # ipa-kra-install -p <Secret.123 >

   Copy to Clipboard Toggle word wrap
2. プロンプトが表示されたらトークンのパスワードを指定します。

手順

1. カスタム DS 設定を含む LDIF 形式のテキストファイルを作成します。LDAP 属性の変更はダッシュ (-) で区切ります。この例では、idle タイムアウトおよび最大ファイルディスクリプターにデフォルト以外の値を設定します。

   changetype: modify
   replace: nsslapd-idletimeout
   nsslapd-idletimeout: 1800
   -
   replace: nsslapd-maxdescriptors
   nsslapd-maxdescriptors: 8192

   Copy to Clipboard Toggle word wrap

2. --dirsrv-config-file パラメーターを使用して、LDIF ファイルをインストールスクリプトに渡します。

   1. IdM サーバーをインストールするには、次のコマンドを実行します。

      # ipa-server-install --dirsrv-config-file <filename.ldif>

      Copy to Clipboard Toggle word wrap

   2. IdM レプリカをインストールするには、次のコマンドを実行します。

      # ipa-replica-install --dirsrv-config-file <filename.ldif>

      Copy to Clipboard Toggle word wrap

手順

1. カスタム CA 設定を含む INI 形式のテキストファイルを作成します。各パラメーターを新しい行に記述します。この例では、CA 署名鍵のサイズを 4096 ビットに設定します。

   [CA]
   pki_ca_signing_key_size=4096

   Copy to Clipboard Toggle word wrap

2. --pki-config-override パラメーターを使用して、INI ファイルをインストールスクリプトに渡します。

   1. IdM サーバーをインストールするには、次のコマンドを実行します。

      # ipa-server-install --pki-config-override <pkiconfig.ini>

      Copy to Clipboard Toggle word wrap

   2. IdM レプリカをインストールするには、次のコマンドを実行します。

      # ipa-replica-install --pki-config-override <pkiconfig.ini>

      Copy to Clipboard Toggle word wrap

手順

1. tail コマンドを使用して、ログファイルの最後の行を表示します。以下の例では、/var/log/ipaserver-install.log の最後の 10 行を表示しています。

   [user@server ~]$ sudo tail -n 10 /var/log/ipaserver-install.log
   [sudo] password for user:
   value = gen.send(prev_value)
   File "/usr/lib/python3.6/site-packages/ipapython/install/common.py", line 65, in _install
   for unused in self._installer(self.parent):
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/init.py", line 564, in main
   master_install(self)
   File "/usr/lib/python3.6/site-packages/ipaserver/install/server/install.py", line 291, in decorated
   raise ScriptError()
   
   2020-05-27T22:59:41Z DEBUG The ipa-server-install command failed, exception: ScriptError:
   2020-05-27T22:59:41Z ERROR The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

   Copy to Clipboard Toggle word wrap

2. ログファイルを対話的に確認するには、less ユーティリティーを使用してログファイルの末尾を開き、↑ および ↓ 矢印キーを使用して移動します。以下の例では、/var/log/ipaserver-install.log ファイルを対話的に開きます。

   [user@server ~]$ sudo less -N +G /var/log/ipaserver-install.log

   Copy to Clipboard Toggle word wrap

3. ログファイルの残りで、このレビュープロセスを繰り返して、追加のトラブルシューティング情報を収集します。

   [user@server ~]$ sudo less -N +G /var/log/httpd/error_log
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/access
   
   [user@server ~]$ sudo less -N +G /var/log/dirsrv/slapd-INSTANCE-NAME/errors

   Copy to Clipboard Toggle word wrap

手順

1. ログファイルを対話的に確認するには、less ユーティリティーを使用してログファイルの末尾を開き、kbd:[] 矢印キーを使用して移動しながら、ScriptError エントリーを検索します。以下の例では、/var/log/pki/pki-ca-spawn.$TIME_OF_INSTALLATION.log を開きます。

   [user@server ~]$ sudo less -N +G /var/log/pki/pki-ca-spawn.20200527185902.log

   Copy to Clipboard Toggle word wrap
2. 上記のすべてのログファイルを使用してこの確認プロセスを繰り返して、追加のトラブルシューティング情報を収集します。

手順

1. IdM サーバーとして設定するホストから、IdM サーバーソフトウェアをアンインストールします。

   [root@server ~]# ipa-server-install --uninstall

   Copy to Clipboard Toggle word wrap

2. インストールに繰り返し失敗したことが原因で IdM サーバーのインストールに問題が生じた場合は、オペレーティングシステムを再インストールします。

   カスタマイズなしの新規インストールシステムというのが、IdM サーバーのインストール要件の 1 つとなっています。インストールに失敗した場合は、予期せずにシステムファイルが変更されてホストの整合性が保てない可能性があります。

手順

1. IdM クライアントとして設定するシステムで ipa-client-install ユーティリティーを実行し、ユースケースに対応するオプションを追加します。

   • ユーザーのホームディレクトリーが存在しない場合は PAM を設定するため、--mkhomedir オプションを追加します。

   • 以下のいずれかの状況で、クライアントシステムの IP アドレスで DNS レコードを更新する --enable-dns-updates オプションを追加することを検討してください。

     • クライアントには、Dynamic Host Configuration Protocol を使用して発行された動的 IP アドレスがあります。

     • クライアントに静的 IP アドレスが割り当てられていても、クライアントに割り当てられていて、IdM サーバーはそれを認識していません。

       重要

       DNS サーバーが GSS-TSIG プロトコルを使用した DNS エントリーの更新を受け入れる場合に限り、--enable-dns-updates オプションを使用します。クライアントを、統合 DNS のある IdM サーバーに登録する場合は、この条件が満たされます。

   以下に例を示します。

   # ipa-client-install --mkhomedir --enable-dns-updates

   Copy to Clipboard Toggle word wrap

2. インストールスクリプトは、DNS レコードなどの必要な設定をすべて自動的に取得しようとします。

   • IdM DNS ゾーンで SRV レコードが正しく設定されていると、スクリプトはその他に必要な値をすべて自動的に検出し、表示します。yes を入力して確定します。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

     Copy to Clipboard Toggle word wrap

   • システムを別の値でインストールする場合は no を入力します。その後、ipa-client-install を再度実行し、コマンドラインオプションを ipa-client-install に追加して必要な値を指定します。以下に例を示します。

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全修飾ドメイン名は、有効な DNS 名である必要があります。

     • 数字、アルファベット、およびハイフン (-) のみを使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
     • ホスト名がすべて小文字である。大文字は使用できません。
   • スクリプトが一部の設定を自動的に取得できなかった場合は、値を入力するように求められます。

3. スクリプトにより、アイデンティティーがクライアントの登録に使用されるユーザーの入力が求められます。たとえば、登録管理者 (Enrollment Administrator) ロールを持つ hostadmin ユーザーなどが該当します。

   User authorized to enroll computers: hostadmin
   Password for hostadmin@EXAMPLE.COM:

   Copy to Clipboard Toggle word wrap

4. インストールスクリプトにより、クライアントが設定されます。動作が完了するまで待ちます。

   Client configuration complete.

   Copy to Clipboard Toggle word wrap

手順

1. IdM クライアントとして設定するシステムで ipa-client-install ユーティリティーを実行し、ユースケースに対応するオプションを追加します。

   • --password オプションを使用して、1 回限りのランダムパスワードを指定します。パスワードに特殊文字が含まれることが多いため、パスワードを一重引用符 (') で囲みます。

     # ipa-client-install --mkhomedir --password=password

     Copy to Clipboard Toggle word wrap

   • 以下のいずれかの状況で、クライアントシステムの IP アドレスで DNS レコードを更新する --enable-dns-updates オプションを追加することを検討してください。

     • クライアントには、Dynamic Host Configuration Protocol を使用して発行された動的 IP アドレスがあります。

     • クライアントに静的 IP アドレスが割り当てられていても、クライアントに割り当てられていて、IdM サーバーはそれを認識していません。

       重要

       DNS サーバーが GSS-TSIG プロトコルを使用した DNS エントリーの更新を受け入れる場合に限り、--enable-dns-updates オプションを使用します。クライアントを、統合 DNS のある IdM サーバーに登録する場合は、この条件が満たされます。

   以下に例を示します。

   # ipa-client-install --password 'W5YpARl=7M.n' --enable-dns-updates --mkhomedir

   Copy to Clipboard Toggle word wrap

2. インストールスクリプトは、DNS レコードなどの必要な設定をすべて自動的に取得しようとします。

   • IdM DNS ゾーンで SRV レコードが正しく設定されていると、スクリプトはその他に必要な値をすべて自動的に検出し、表示します。yes を入力して確定します。

     Client hostname: client.example.com
     Realm: EXAMPLE.COM
     DNS Domain: example.com
     IPA Server: server.example.com
     BaseDN: dc=example,dc=com
     
     Continue to configure the system with these values? [no]: yes

     Copy to Clipboard Toggle word wrap

   • システムを別の値でインストールする場合は no を入力します。その後、ipa-client-install を再度実行し、コマンドラインオプションを ipa-client-install に追加して必要な値を指定します。以下に例を示します。

     • --hostname
     • --realm
     • --domain
     • --server
     • --mkhomedir
     重要

     完全修飾ドメイン名は、有効な DNS 名である必要があります。

     • 数字、アルファベット、およびハイフン (-) のみを使用できる。たとえば、アンダーラインは使用できないため、DNS の障害が発生する原因となる可能性があります。
     • ホスト名がすべて小文字である。大文字は使用できません。
   • スクリプトが一部の設定を自動的に取得できなかった場合は、値を入力するように求められます。

3. インストールスクリプトにより、クライアントが設定されます。動作が完了するまで待ちます。

   Client configuration complete.

   Copy to Clipboard Toggle word wrap

1. /etc/openldap/ldap.conf および /etc/sssd/sssd.conf を開きます。
2. 以前の設定を削除します。
3. 新しい IdM 設定のコメントを解除します。
4. システム全体の LDAP 設定に依存するサーバープロセスの中には、再起動しないと変更が適用されない場合があります。openldap ライブラリーを使用するアプリケーションでは通常、起動時に設定がインポートされます。