58.2. RBCD を使用してサービスへのアクセスを委任する

手順

1. client.example.test ホストで、Kerberos チケットを取得します。

   # kinit -k

2. RBCD ACL を定義します。

   # ipa service-add-delegation nfs/client.example.test HTTP/client.example.test
   
   -------------------------------------------------------
   Added new resource delegation to the service principal "nfs/client.example.test@EXAMPLE.TEST"
   -------------------------------------------------------
     Principal name: nfs/client.example.test@EXAMPLE.TEST
     Delegation principal: HTTP/client.example.test@EXAMPLE.TEST

1. NFS サービスを表示して、委任ルールが存在することを確認します。

   # ipa service-show nfs/client.example.test
   
     Principal name: nfs/client.example.test@EXAMPLE.TEST
     Principal alias: nfs/client.example.test@EXAMPLE.TEST
     Delegation principal: HTTP/client.example.test@EXAMPLE.TEST
     Keytab: True
     Managed by: client.example.test

2. HTTP サービスプリンシパルの Kerberos チケットを取得します。

   # kinit -kt http.keytab HTTP/client.example.test

3. チケット付与チケットが存在することを確認します。

   # klist -f
   Ticket cache: KCM:0:99799
   Default principal: HTTP/client.example.test@EXAMPLE.TEST
   
   Valid starting       Expires              Service principal
   10/13/2023 14:39:23  10/14/2023 14:05:07  krbtgt/EXAMPLE.TEST@EXAMPLE.TEST
   	Flags: FIA

4. testuser に代わってプロトコル移行を実行します。

   # kvno -U testuser -P nfs/client.example.test
   nfs/client.example.test@EXAMPLE.TEST: kvno = 1

5. testuser に代わってプロトコル移行中に取得したチケットが存在することを確認します。

   # klist -f
   Ticket cache: KCM:0:99799
   Default principal: HTTP/client.example.test@EXAMPLE.TEST
   
   Valid starting       Expires              Service principal
   10/13/2023 14:39:38  10/14/2023 14:05:07  HTTP/client.example.test@EXAMPLE.TEST
   	for client testuser@EXAMPLE.TEST, Flags: FAT
   10/13/2023 14:39:23  10/14/2023 14:05:07  krbtgt/EXAMPLE.TEST@EXAMPLE.TEST
   	Flags: FIA
   10/13/2023 14:39:38  10/14/2023 14:05:07  nfs/client.example.test@EXAMPLE.TEST
   	for client testuser@EXAMPLE.TEST, Flags: FAT