1.6. Active Directory ドメインサービスの設定

本項では、Active Directory の管理者が完了する必要のあるタスクについて説明します。

表1.1 設定手順
タスク	詳細
サービスアカウントの作成	サービスアカウントの名前は、`svc-ldap` など、サービスアカウントの命名規則に従って指定することができます。これは、通常のドメインユーザーアカウントを指定できます。管理者権限は必要ありません。
ユーザーグループの作成	OpenStack へのアクセス権限がユーザーに必要な場合は、このグループに所属する必要があります。ユーザーグループの名前は、`grp-openstack` など、ユーザーグループの命名規則に従って指定することができます。このグループのメンバーが、Dashuboard 内のプロジェクトグループのメンバーでもある場合には、そのプロジェクトへのアクセス権が付与されます。
プロジェクトグループの作成	OpenStack の各プロジェクトには、対応する AD グループが必要です。たとえば、`grp-openstack-demo` や `grp-openstack-admin` などがあります。
サービスアカウントの設定	サービスアカウント `svc-ldap` は、`grp-openstack` グループのメンバーである必要があります。
LDAPS 公開鍵のエクスポート	公開鍵 (秘密鍵ではない) は、`DER-encoded` `x509` `.cer` ファイルの形式でエクスポートします。
OpenStack 管理者へのキーの送信	OpenStack の管理者は、このキーを使用して、OpenStack および Active Directory の LDAPS 通信を暗号化します。
AD DS ドメインの NetBIOS 名の取得。	OpenStack 管理者は、Keystone ドメインにこの名前を使用して、複数の環境間で一貫性のあるドメイン名を指定することができます。

たとえば、以下の手順では、Active Directory Domain Controller で実行する PowerShell コマンドが示されています。

LDAP ルックアップアカウントを作成します。このアカウントは、Identity サービスが AD DS LDAP サービスにクエリーを実行するのに使用されます。

Copy to Clipboard Toggle word wrap

PS C:\> New-ADUser -SamAccountName svc-ldap -Name "svc-ldap" -GivenName LDAP -Surname Lookups -UserPrincipalName svc-ldap@lab.local  -Enabled $false -PasswordNeverExpires $true -Path 'OU=labUsers,DC=lab,DC=local'

PS C:\> New-ADUser -SamAccountName svc-ldap -Name "svc-ldap" -GivenName LDAP -Surname Lookups -UserPrincipalName svc-ldap@lab.local  -Enabled $false -PasswordNeverExpires $true -Path 'OU=labUsers,DC=lab,DC=local'

このアカウントのパスワードを設定し、有効にします。AD ドメインのパスワードの複雑さの要件を満たすパスワードを指定するように要求されます。
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
PS C:\> Set-ADAccountPassword svc-ldap -PassThru | Enable-ADAccount
```
```
PS C:\> Set-ADAccountPassword svc-ldap -PassThru | Enable-ADAccount
```

grp-openstack という名前の OpenStack ユーザーグループを作成します。

Copy to Clipboard Toggle word wrap

PS C:\> NEW-ADGroup -name "grp-openstack" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"

PS C:\> NEW-ADGroup -name "grp-openstack" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"

プロジェクトグループを作成します。

Copy to Clipboard Toggle word wrap

PS C:\> NEW-ADGroup -name "grp-openstack-demo" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"
PS C:\> NEW-ADGroup -name "grp-openstack-admin" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"

PS C:\> NEW-ADGroup -name "grp-openstack-demo" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"
PS C:\> NEW-ADGroup -name "grp-openstack-admin" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"

svc-ldap ユーザーを grp-openstack グループに追加します。
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
PS C:\> ADD-ADGroupMember "grp-openstack" -members "svc-ldap"
```
```
PS C:\> ADD-ADGroupMember "grp-openstack" -members "svc-ldap"
```
AD Domain Controller から Certificates MMC を使用して、DER で暗号化された x509 .cer ファイルとして LDAPS 証明書の (秘密鍵ではなく) 公開鍵をエクスポートします。このファイルを OpenStack 管理者に送信します。

AD DS ドメインの NetBIOS 名の取得。

Copy to Clipboard Toggle word wrap

PS C:\> Get-ADDomain | select NetBIOSName
NetBIOSName
-----------
LAB

PS C:\> Get-ADDomain | select NetBIOSName
NetBIOSName
-----------
LAB

この値を OpenStack 管理者に送信します。

1.6. Active Directory ドメインサービスの設定

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links