第18章 IdM での KDC プロキシーの使用
一部の管理者は、デプロイメントでデフォルトの Kerberos ポートにアクセスできないようにすることを選択する場合があります。ユーザー、ホスト、およびサービスが Kerberos 認証情報を取得できるようにするために、HTTPS ポート 443 を介して Kerberos と通信するプロキシーとして HTTPS サービスを使用できます。
Identity Management (IdM) では、Kerberos Key Distribution Center Proxy (KKDCP) がこの機能を提供します。
IdM サーバーでは、KKDCP はデフォルトで有効で、https://server.idm.example.com/KdcProxy で利用できます。IdM クライアントでは、KDCP にアクセスするために、その Kerberos 設定を変更する必要があります。
18.1. KKDCP を使用するための IdM クライアントの設定
Identity Management (IdM) システム管理者は、IdM サーバーで Kerberos Key Distribution Center Proxy (KKDCP) を使用するように IdM クライアントを設定できます。これは、デフォルトの Kerberos ポートが IdM サーバーでアクセスできず、HTTPS ポート 443 が Kerberos サービスにアクセスする唯一の方法である場合に役立ちます。
前提条件
-
IdM クライアントへの
rootアクセス権限がある。
手順
-
/etc/krb5.confファイルを開いて編集します。 [realms]セクションで、kdc、admin_server、およびkpasswd_serverオプションの KKDCP の URL を入力します。[realms] EXAMPLE.COM = { kdc = https://kdc.example.com/KdcProxy admin_server = https://kdc.example.com/KdcProxy kpasswd_server = https://kdc.example.com/KdcProxy default_domain = example.com }冗長性の場合は、パラメーター
kdc、admin_server、およびkpasswd_serverを複数回追加して、別の KDCP サーバーを示すことができます。sssdを再起動して、変更を有効にします。~]# systemctl restart sssd
