7.2. 信頼コントローラーおよび信頼エージェント
Identity Management (IdM) には、Active Directory (AD) への信頼をサポートする、以下のタイプの IdM サーバーがあります。
- 信頼コントローラー
AD ドメインコントローラーで ID 検索が実行可能な IdM サーバーまた、Samba スイートも実行するため、AD との信頼を確立できます。AD ドメインコントローラーは、AD への信頼を確立して検証する際に信頼コントローラーに問い合わせます。AD に登録したマシンは、Kerberos 認証要求で IdM 信頼コントローラーと通信します。
信頼を設定すると、最初の信頼コントローラーが作成されます。地理的に異なる場所に複数のドメインコントローラーがある環境では、これらの場所で追加の RHEL IdM サーバーを信頼コントローラーとして指定すると便利です。
信頼コントローラーは、信頼エージェントと比較すると、ネットワーク向けサービスを多く実行するため、侵入者が攻撃できる範囲が大きくなります。
- 信頼エージェント
- AD ドメインコントローラーに対する RHEL IdM クライアントからの ID 検索を解決できる IdM サーバー。信頼コントローラーとは異なり、信頼エージェントは Kerberos 認証要求を処理できません。
IdM ドメインには、信頼エージェントと信頼コントローラーだけでなく、標準の IdM サーバーも追加できます。ただし、このサーバーは AD と通信しません。したがって、これらの標準サーバーと通信するクライアントは、AD ユーザーとグループを解決したり、AD ユーザーを認証および承認したりすることはできません。
デフォルトでは、IdM サーバーは信頼されたドメインのユーザーとグループを解決できません。IdM サーバーが信頼されたドメインとやり取りできるようにするには、信頼コントローラーまたは信頼エージェントとして動作するように明示的に設定する必要があります。
| 機能 | 信頼エージェント | 信頼コントローラー |
|---|---|---|
| AD ユーザーおよびグループを解決する | はい | はい |
| IdM クライアントを登録して、信頼されている AD フォレストのユーザーがアクセスできるサービスの実行 | はい | はい |
| 信頼アグリーメントの追加、変更、または削除 | いいえ | はい |
| トラストエージェントロールを IdM サーバーに割り当てます。 | いいえ | はい |
信頼コントローラーと信頼エージェントのデプロイメントを計画する時に、以下のガイドラインを考慮してください。
- IdM のデプロイメントごとに、信頼コントローラーを少なくとも 2 台設定する。
- 各データセンターごとに、信頼コントローラーを少なくとも 2 台設定する。
追加の信頼コントローラーを作成する場合や、既存の信頼コントローラーが失敗した場合には、信頼エージェントまたは標準サーバーを昇格して、信頼コントローラーを新規作成してください。これには、IdM サーバーの ipa-adtrust-install ユーティリティーを使用してください。
既存の信頼コントローラーを信頼エージェントにダウングレードすることはできません。
関連情報
