13.7. プロビジョンされたホストの外部認証
以下のセクションを使用して、Red Hat Identity Management レルムサポート用の Satellite Server または Capsule Server を設定します。続いて、Red Hat Identity Management レルムグループにホストを追加します。
前提条件
プロビジョニングされたホストの外部認証を設定するには、以下を設定していること。
- Satellite Server をコンテンツ配信ネットワークに登録しておくか、外部の Capsule Server を Satellite Server に登録しておく。
- Red Hat Identity Management などのレルムまたはドメインプロバイダーがデプロイされていること。
Red Hat Satellite Server または Red Hat Satellite Capsule Server に Red Hat Identity Management パッケージをインストールして設定する手順:
プロビジョニングされたホストに Red Hat Identity Management を使用するには、以下の手順を実行して、Red Hat Satellite Server または Red Hat Satellite Capsule Server に Red Hat Identity Management パッケージをインストールして設定します。
Satellite Server または Capsule Server に
ipa-client
パッケージをインストールします。# satellite-maintain packages install ipa-client
サーバーを Red Hat Identity Management クライアントとして設定します。
# ipa-client-install
Red Hat Identity Management でレルムプロキシーユーザー
realm-capsule
と、関連のロールを作成します。# foreman-prepare-realm admin realm-capsule
以下の手順で必要となるので、返されたプリンシパル名と、Red Hat Identity Management サーバーの設定情報をメモします。
Red Hat Identity Management レルムサポート用の Red Hat Satellite Server または Capsule Server の設定方法
使用する Satellite お よび全 Capsule で次の手順を実行します。
同じプリンシパルおよびレルムに追加する Capsule Server に、
/root/freeipa.keytab
ファイルをコピーします。# scp /root/freeipa.keytab root@capsule.example.com:/etc/foreman-proxy/freeipa.keytab
/root/freeipa.keytab
ファイルを/etc/foreman-proxy
ディレクトリーに移動して、所有者をforeman-proxy
ユーザーに設定します。# mv /root/freeipa.keytab /etc/foreman-proxy # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/freeipa.keytab
レルムに追加する全 Capsule で、以下のコマンドを入力します。Satelllite に 統合された Capsule を使用する場合には、Satellite Server でこのコマンドを入力します。
# satellite-installer --foreman-proxy-realm true \ --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \ --foreman-proxy-realm-principal realm-capsule@EXAMPLE.COM \ --foreman-proxy-realm-provider freeipa
これらのオプションは、Red Hat Satellite Server を初めて設定する場合にも使用できます。
ca-certificates パッケージの最新バージョンがインストールされていることを確認し、Red Hat Identity Management 認証局を信頼します。
# cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt # update-ca-trust enable # update-ca-trust
オプション: 既存の Satellite Server または Capsule Server で Red Hat Identity Management を設定する場合には、以下の手順を実行して、設定の変更が適用されていることを確認します。
foreman-proxy サービスを再起動します。
# systemctl restart foreman-proxy
- Satellite Web UI で、Infrastructure > Capsules に移動します。
- Red Hat Identity Management 用に設定した Capsule の場所を特定して、アクション コラムのリストから リフレッシュ を選択します。
Red Hat Identity Management 対応の Capsule のレルムの作成方法
統合型または外部の Capsule に Red Hat Identity Management を設定した後に、レルムを作成して、Red Hat Identity Management が設定された Capsule をレルムに追加する必要があります。
レルムを作成するには、以下の手順を行います。
- Satellite Web UI で、インフラストラクチャー > レルム に移動して、レルムの作成 をクリックします。
- 名前 フィールドには、レルムの名前を入力します。
- レルムのタイプ リストから、レルムのタイプを選択します。
- Realm Capsule リストから、Red Hat Identity Management を設定した Capsule Server を選択します。
- ロケーション タブをクリックして、ロケーション リストから、新しいレレムを追加するロケーションを選択します。
- 組織 タブをクリックして、組織 リストから、新規レルムを追加する組織を選択します。
- Submit をクリックします。
レルム情報でのホストグループの更新
使用するホストグループを、新しいレルム情報で更新する必要があります。
- 設定 > ホストグループ に移動して、更新するホストグループを選択し、ネットワーク タブをクリックします。
- レルム リストから、この手順の一部で作成するレルムを選択して 送信 をクリックします。
Red Hat Identity Management ホストグループへのホストの追加
Red Hat Identity Management では、システムの属性に基づいて自動メンバーシップルールをセットアップできます。Red Hat Satellite のレルム機能は、管理者に対し、Red Hat Satellite ホストグループを Red Hat Identity Management パラメーター userclass
にマップする機能を提供します。これにより、管理者は automembership を設定することができます。
ネスト化されたホストグループが使用される場合、それらは Red Hat Satellite ユーザーインターフェイスに表示され、Red Hat Identity Management サーバーに送信されます。たとえば、"Parent/Child/Child" のように表示されます。
Satellite Server または Capsule Server は更新を Red Hat Identity Management サーバーに送信しますが、automembership のルールは、初回登録時にのみ適用されます。
Red Hat Identity Management ホストグループにホストを追加するには、以下を実行します。
Red Hat Identity Management サーバーで、ホストグループを作成します。
# ipa hostgroup-add hostgroup_name --desc=hostgroup_description
automembership
ルールを作成します。# ipa automember-add --type=hostgroup hostgroup_name automember_rule
以下のオプションを使用できる場所:
-
automember-add
は automember グループとしてグループにフラグを立てます。 -
--type=hostgroup
は、ターゲットグループがユーザーグループではなく、ホストグループであることを特定します。 -
automember_rule
は、automember ルールの識別に使用する名前を追加します。
-
userclass
属性に基づいて automembership の条件を定義します。# ipa automember-add-condition --key=userclass --type=hostgroup --inclusive-regex=^webserver hostgroup_name ---------------------------------- Added condition(s) to "hostgroup_name" ---------------------------------- Automember Rule: automember_rule Inclusive Regex: userclass=^webserver ---------------------------- Number of conditions added 1 ----------------------------
以下のオプションを使用できる場所:
-
automember-add-condition
では、グループメンバーを識別する正規表現の条件を追加します。 -
--key=userclass
はキー属性をuserclass
に指定します。 -
--type=hostgroup
は、ターゲットグループがユーザーグループではなく、ホストグループであることを特定します。 -
--inclusive-regex=
^webserver は、正規表現パターンで一致する値を識別します。 - hostgroup_name: ターゲットホストグループの名前を識別します。
-
システムが Satellite Server の hostgroup_name ホストグループに追加されると、そのシステムは、Red Hat Identity Management サーバーの "hostgroup_name" ホストグループに自動的に追加されます。Red Hat Identity Management ホストグループは、HBAC (ホストベースアクセス制御)、sudo ポリシー、およびその他の Red Hat Identity Management 機能を許可します。