7.2. 信頼コントローラーおよび信頼エージェント
Identity Management (IdM) には、Active Directory (AD) への信頼をサポートする、以下のタイプの IdM サーバーがあります。
- 信頼コントローラー
AD ドメインコントローラーで ID 検索が実行可能な IdM サーバーまた、Samba スイートも実行するため、AD との信頼を確立できます。AD ドメインコントローラーは、AD への信頼を確立して検証する際に信頼コントローラーに問い合わせます。AD に登録したマシンは、Kerberos 認証要求で IdM 信頼コントローラーと通信します。
信頼を設定すると、最初の信頼コントローラーが作成されます。地理的に異なる場所に複数のドメインコントローラーがある場合は、
ipa-adtrust-installコマンドを使用して、RHEL IdM サーバーを、その場所で信頼コントローラーとして指定します。信頼コントローラーは、信頼エージェントと比較すると、ネットワーク向けサービスを多く実行するため、侵入者が攻撃できる範囲が大きくなります。
- 信頼エージェント
- AD ドメインコントローラーに対する RHEL IdM クライアントからの ID 検索を解決できる IdM サーバー。信頼コントローラーとは異なり、信頼エージェントは Kerberos 認証要求を処理できません。
IdM ドメインには、信頼エージェントと信頼コントローラーだけでなく、標準の IdM サーバーも追加できます。ただし、このサーバーは AD と通信しません。したがって、これらの標準サーバーと通信するクライアントは、AD ユーザーとグループを解決したり、AD ユーザーを認証および承認したりすることはできません。
以下のアクションのいずれかが実行されない限り、IdM サーバーは Trust Controller または Trust Agent ロールを操作するように設定されません。
-
--setup-adオプションを指定したipa-server-installまたはipa-replica-installコマンドでサーバーまたはレプリカをインストールした。 -
IdM サーバーで
ipa-adtrust-installコマンドを実行して、Trust Controller ロールを設定しました。 -
Trust Controller で
ipa-adtrust-install --add-agentsコマンドを実行して、別の IdM レプリカを Trust Agent に指定しました。
デフォルトでは、IdM サーバーは、これらの操作を行わないと、信頼されたドメインからユーザーおよびグループを解決できません。
| 機能 | 信頼エージェント | 信頼コントローラー |
|---|---|---|
| AD ユーザーおよびグループを解決する | はい | はい |
| IdM クライアントを登録して、信頼されている AD フォレストのユーザーがアクセスできるサービスの実行 | はい | はい |
| 信頼アグリーメントの追加、変更、または削除 | いいえ | はい |
| トラストエージェントロールを IdM サーバーに割り当てます。 | いいえ | はい |
信頼コントローラーと信頼エージェントのデプロイメントを計画する時に、以下のガイドラインを考慮してください。
- IdM のデプロイメントごとに、信頼コントローラーを少なくとも 2 台設定する。
- 各データセンターごとに、信頼コントローラーを少なくとも 2 台設定する。
追加の信頼コントローラーを作成する場合や、既存の信頼コントローラーが失敗した場合には、信頼エージェントまたは標準サーバーを昇格して、信頼コントローラーを新規作成してください。これには、IdM サーバーの ipa-adtrust-install ユーティリティーを使用してください。
既存の信頼コントローラーを信頼エージェントにダウングレードすることはできません。
