5.3. Active Directory の使用

手順

1. satellite-installer が想定する場所で AD レルム設定を定義します。

   1. /etc/ipa/ という名前のディレクトリーを作成します。

      # mkdir /etc/ipa/

   2. AD ドメインの Kerberos レルムを設定するには、次の内容を含む /etc/ipa/default.conf ファイルを作成します。

      [global]
      realm = AD.EXAMPLE.COM

2. Kerberos 接続の Apache keytab を設定します。

   1. Samba が AD と対話する方法を設定するには、次の設定で /etc/samba/smb.conf ファイルを更新します。

      [global]
      workgroup = AD.EXAMPLE
      realm = AD.EXAMPLE.COM
      kerberos method = system keytab
      security = ads

   2. /etc/httpd/conf/http.keytab のキータブファイルに Kerberos サービスプリンシパルを追加します。

      # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U Administrator -s /etc/samba/smb.conf

3. AD アクセス制御プロバイダーを使用して Foreman PAM サービスのグループポリシーオブジェクト (GPO) アクセス制御ルールを評価および適用するように、System Security Services Daemon (SSSD) を設定します。

   1. /etc/sssd/sssd.conf ファイルの [domain/ad.example.com ] セクションで、ad_gpo_access_control および ad_gpo_map_service オプションを次のように設定します。

      [domain/ad.example.com]
      ad_gpo_access_control = enforcing
      ad_gpo_map_service = +foreman

      GPO の詳細は、次のドキュメントを参照してください。

      • RHEL システムと Windows Active Directory を直接統合 の SSSD が GPO アクセス制御ルールを解釈する方法 (RHEL 9)
      • RHEL システムと Windows Active Directory を直接統合 の SSSD が GPO アクセス制御ルールを解釈する方法 (RHEL 8)

   2. SSSD を再起動します。

      # systemctl restart sssd

4. 認証ソースを有効にします。

   # satellite-installer --foreman-ipa-authentication=true

手順

1. HBAC を有効にします。

   1. 外部グループを作成して、この外部グループに AD グループを追加します。
   2. 新しい外部グループを POSIX グループに追加します。
   3. HBAC ルールで POSIX グループを使用します。

2. AD ユーザーの追加属性を転送するよう sssd を設定します。

   • この AD ユーザー属性を /etc/sssd/sssd.conf の nss セクションと domain セクションに追加します。以下に例を示します。

     [nss]
     user_attributes=+mail, +sn, +givenname
     [domain/EXAMPLE.com]
     ...
     krb5_store_password_if_offline = True
     ldap_user_extra_attrs=email:mail, lastname:sn, firstname:givenname
     
     [ifp]
     allowed_uids = ipaapi, root
     user_attributes=+email, +firstname, +lastname

   • AD 属性値を確認します。

     # dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:ad-user@ad-domain array:string:email,firstname,lastname