1.7. Apache HTTP Web サーバーの Kerberos 認証の設定

手順

1. サービスプリンシパルを作成し、HTTP/<SERVER_NAME>@realm プリンシパルの keytab ファイルへのアクセスを有効にします。

   # ipa service-add HTTP/<SERVER_NAME>

2. /etc/gssproxy/http.keytab ファイルに保存されているプリンシパルの keytab を取得します。

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   このステップでは、パーミッションを 400 に設定すると、root ユーザーのみが keytab ファイルにアクセスできます。apache ユーザーは異なります。

3. 以下の内容で /etc/gssproxy/80-httpd.conf ファイルを作成します。

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

4. gssproxy サービスを再起動して、有効にします。

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service