20.7. 明示的なレルム宣言による KKDCP サーバーの設定

手順

1. /etc/ipa/kdcproxy/kdcproxy.conf ファイルの [global] セクションで、use_dns パラメーターを true に設定します。

   [global]
   use_dns = true

2. /etc/ipa/kdcproxy/kdcproxy.conf に、AD レルムごとにセクションを追加し、KDC サーバーを明示的に指定します。

   [AD.EXAMPLE.COM]
   kerberos = kerberos+tcp://ad-dc1.ad.example.com:88 kerberos+tcp://ad-dc2.ad.example.com:88
   kpasswd = kpasswd+tcp://ad-dc1.ad.example.com:464 kpasswd+tcp://ad-dc2.ad.example.com:464

   AD.EXAMPLE.COM を ご使用の AD レルム名に、ad-dc1.ad.example.com と ad-dc2.ad.example.com をご使用の AD ドメインコントローラーのホスト名または IP アドレスに置き換えてください。複数のサーバーをスペースで区切って 1 行に列挙できます。

   重要

   レルム設定パラメーターでは、/etc/krb5.conf や kdc.conf とは異なり、スペースで区切られた複数のサーバーをリストする必要があります。/etc/krb5.conf や kdc.conf では、特定のオプションを複数回指定できます。

   注記

   use_dns = true がグローバルに設定されている場合、空のレルムセクションがあれば、レルムを許可リストに追加するのに十分です。KDC サーバーを明示的に指定する必要はありません。以下に例を示します。

   [global]
   use_dns = true
   
   [SUB1.AD.EXAMPLE.COM]
   [SUB2.AD.EXAMPLE.COM]

   複数のサブレルムを持つ AD フォレストをカバーするには、* で始まるワイルドカードセクションを使用することもできます。たとえば、[* AD.EXAMPLE.COM ] は AD.EXAMPLE.COM と CHILD.AD.EXAMPLE.COM には一致しますが、MYADEXAMPLE.COM には一致しません。

3. オプション: 専用のレルムセクションを追加できない場合は、[global] セクションに dns_realm_discovery パラメーターを追加することで、すべてのレルムに対して DNS ベースの KDC 検出を再度有効にできます。

   警告

   Red Hat は dns_realm_discovery = true を設定することを推奨していません。これは CVE-2025-59088 以前の動作を復元し、任意のクライアントが任意のレルム名に対して DNS SRV レコードのルックアップをトリガーできるようにします。これにより、内部ネットワークアドレスを調査したり、サーバーサイドリクエストフォージェリーを介してデータを漏洩させたりするために悪用される可能性があります。

   [global]
   use_dns = true
   dns_realm_discovery = true

4. Identity Management (IdM) サービスを再起動します。

   # ipactl restart