4.15. Identity Management

Directory Server はグローバル changelog を使用しなくなりました

この機能強化により、Directory Server changelog がメインのデータベースに統合されました。以前は、Directory Server はグローバル changelog を使用していました。ただし、ディレクトリーが複数のデータベースを使用した場合は、問題が発生する可能性がありました。その結果、各接尾辞には、通常のデータベースファイルと同じディレクトリーに独自の changelog が含まれるようになりました。

すべての依存関係を持つ AppStream リポジトリーで ansible-freeipa が利用できるようになる

以前の RHEL 8 では、ansible-freeipa パッケージをインストールする前に、まず Ansible リポジトリーを有効にして ansible パッケージをインストールする必要がありました。RHEL 8.6 および RHEL 9 では、準備手順なしで ansible-freeipa をインストールできます。ansible-freeipa をインストールすると、依存関係として、ansible のより基本的なバージョンである ansible-core パッケージが自動的にインストールされます。ansible-freeipa と ansible-core の両方が、rhel-9-for-x86_64-appstream-rpms リポジトリーで利用できます。

IdM は、automountlocation、automountmap、および automountkey Ansible モジュールをサポートするようになる

この更新では、ansible-freeipa パッケージに、ipaautomountlocation、ipaautomountmap、および ipaautomountkey モジュールが含まれています。これらのモジュールを使用して、IdM の場所にある IdM クライアントにログインした IdM ユーザーが自動的にマウントされるようにディレクトリーを設定できます。現在サポートされているのはダイレクトマップのみであることに注意してください。

subID 範囲の管理が shadow-utils でサポートされる

以前は、shadow-utils が /etc/subuid および /etc/subgid ファイルから subID 範囲を自動的に設定していました。今回の更新で、subid フィールドに値を設定することで、/etc/nsswitch.conf ファイルで subID 範囲の設定を利用できるようになりました。詳細は man subuid および man subgid を参照してください。また、この更新により、IPA サーバーからの subID 範囲を提供する shadow-utils プラグインの SSSD 実装が利用可能になりました。この機能を使用するには、subid: sss を /etc/nsswitch.conf に追加します。このソリューションは、コンテナー化した環境でルートレスコンテナーを容易にするために役立ちます。

subID 範囲の管理が IdM でサポートされる

この更新により、Identity Management でユーザーの ID サブ範囲を管理できるようになりました。ipa CLI ツールまたは IdM WebUI インターフェイスを使用して、自動的に設定された subID 範囲をユーザーに割り当てることができます。これは、コンテナー化された環境で役立つ場合があります。

Identity Management インストールパッケージがモジュール解除される

RHEL 8 以前では、IdM パッケージはモジュールとして配布されていたため、ストリームを有効にして、目的のインストールに対応するプロファイルをインストールする必要がありました。IdM インストールパッケージは、RHEL 9 でモジュール解除されているため、次の dnf コマンドを使用して IdM サーバーをインストールできます。

従来の RHEL の ansible-freeipa リポジトリーに代わる Ansible 自動化ハブ

この更新では、標準の RHEL リポジトリーからダウンロードする代わりに、Ansible Automation Hub (AAH) から ansible-freeipa モジュールをダウンロードできます。AAH を使用することで、このリポジトリーで利用可能な ansible-freeipa モジュールのより高速な更新の恩恵を受けることができます。

ansible-freeipa モジュールを IdM クライアントでリモートで実行できるようになる

以前は、ansible-freeipa モジュールは IdM サーバーでのみ実行できました。これには、Ansible 管理者が IdM サーバーへの SSH アクセスを持っている必要があり、潜在的なセキュリティーの脅威を引き起こしていました。この更新により、IdM クライアントであるシステム上で ansible-freeipa モジュールをリモートで実行できるようになります。その結果、IdM の設定とエンティティーをより安全な方法で管理できます。

ipadnsconfig モジュールには、グローバルフォワーダーを除外するための action: member が必要になる

今回の更新で、ansible-freeipa ipadnsconfig モジュールを使用して Identity Management (IdM) のグローバルフォワーダーを除外するには、state: absent オプションの他に action: member オプションを使用する必要があります。Playbook で action: member を使用せずに state: absent だけを使用すると、その Playbook は失敗します。そのため、すべてのグローバルフォワーダーを削除するには、Playbook でこれらをすべて個別に指定する必要があります。一方、state: present オプションに action: member は必要ありません。

AD ユーザー向けの自動プライベートグループが、一元管理された設定をサポート

IdM クライアントの SSSD の互換バージョンで、信頼された Active Directory ドメインのユーザーのプライベートグループを管理する方法を一元的に定義できるようになりました。この改善により、AD ユーザーを処理する ID 範囲に対して、SSSD の auto_private_groups オプションの値を明示的に設定できるようになりました。

BIND のカスタマイズ可能なロギング設定

この改善により、/etc/named/ipa-logging-ext.conf 設定ファイルで、Identity Management サーバーの BIND DNS サーバーコンポーネントのロギング設定を設定できるようになりました。

IdM キータブの取得時の IdM サーバーの自動検出

この改善により、ipa-getkeytab コマンドで Kerberos キータブを取得する際に、IdM サーバーのホスト名を指定する必要がなくなりました。サーバーのホスト名を指定しない場合は、DNS 検出が使用されて IdM サーバーが検出されます。サーバーが見つからない場合は、/etc/ipa/default.conf 設定ファイルで指定された host に戻ります。

RHEL 9 が Samba 4.15.5 を提供する

RHEL 9 には Samba 4.15.5 が使用されており、バージョン 4.14 に対するバグ修正および機能拡張が提供されます。

ログアナライザーツールを使用したクライアント要求の追跡

SSSD(System Security Services Daemon) には、複数の SSSD コンポーネントからのログファイル全体で開始からの要求を追跡するログ解析ツールが追加されました。

SSSD がデフォルトでバックトレースをログ記録するようになる

この改善により、SSSD は詳細なデバッグログをメモリー内のバッファーに保存し、障害発生時にログファイルに追加できるようになりました。デフォルトでは、以下のエラーレベルが原因でバックトレースが発生します。

SSSD のデフォルトの SSH ハッシュ値が OpenSSH 設定と一致するようになる

ssh_hash_known_hosts のデフォルト値が false に変更になりました。これは、デフォルトでホスト名をハッシュしない OpenSSH 設定と一致するようになりました。

Directory Server 12.0 は、アップストリームバージョン 2.0.14 をベースとする

Directory Server 12.0 は、アップストリームバージョン 2.0.14 をベースとしており、以前のバージョンに比べて多くのバグ修正と機能拡張が提供されています。主な変更点の一覧は、更新前にアップストリームのリリースノートを参照してください。

Directory Server が、tmpfs ファイルシステムのデータベースのメモリーマッピングされたファイルを保存するようになる

Directory Server の nsslapd-db-home-directory パラメーターは、データベースのメモリーマッピングファイルの場所を定義します。この改善により、パラメーターのデフォルト値が /var/lib/dirsrv/slapd-instance_name/db/ から /dev/shm/ に変更になりました。その結果、tmpfs ファイルシステムに保存されている内部データベースがあると、Directory Server のパフォーマンスが向上します。

FreeRADIUS サポートが再設計される

RHEL 9 では、既存の FreeRADIUS オファリングが合理化され、Identity Management (IdM) の戦略的方向性とより整合するようになりました。IdM ユーザーに最高のサポートを提供するために、Red Hat は FreeRADIUS を使用した次の外部認証モジュールのサポートを強化しています。

RHEL IdM の named デーモンが、DNSSEC の検証を確実に実行するために OpenSSL を使用するようになる

この更新により、デジタル署名によって DNS データを保護して DNS を攻撃から守るために、RHEL Identity Management (IdM) の named デーモンに OpenSSL PKCS#11 エンジンが導入されました。以前は、IdM はこの目的のために、bind パッケージの特別なバージョン (bind-pkcs11) を使用していました。さらに、この更新により、bind-pkcs11-utils パッケージが削除されます。代わりに、opensc パッケージの pkcs11-tool を使用して、PKCS#11 トークンまたは保存された鍵を管理します。