1.6. Identity Management DNS と GSS-TSIG 認証の統合

手順

1. Identity Management ドメインのメンバーであるホストで、admin ユーザーの Kerberos チケットを取得します。

   # kinit admin

2. Identity Management サーバーでの認証に使用するために、Satellite Server 用の新しい Kerberos プリンシパルを作成します。

   # ipa service-add capsule/satellite.example.com

3. オプション: 正引き DNS ゾーンを追加します。

   # ipa dnszone-add example.com

4. 正引きゾーンの BIND 更新ポリシーを表示します。

   # ipa dnszone-show example.com --all | \
   grep "BIND update policy"

   出力例:

   BIND update policy: grant EXAMPLE.COM krb5-self * A; grant EXAMPLE.COM krb5-self * AAAA; grant EXAMPLE.COM krb5-self * SSHFP;

   設定の値をメモします。

5. 正引きゾーンの設定を更新します。

   # ipa dnszone-mod example.com \
   --dynamic-update=TRUE \
   --allow-sync-ptr=TRUE \
   --update-policy="<existing_policy> grant smartproxy\047foreman.example.com@EXAMPLE.COM wildcard * ANY;"

   このコマンドは、ゾーン設定を次のように変更します。

   • 動的ゾーン更新が有効になります。
   • A レコードまたは AAAA レコードが正引きゾーンで更新された場合、Identity Management が逆引き DNS ゾーン内の対応する PTR レコードを更新します。
   • 前のステップで作成した Kerberos プリンシパルに、あらゆるタイプのデータレコードを変更する権限が与えられます。この設定を既存の値に追加する必要があることに注意してください。

6. オプション: 逆引き DNS ゾーンを追加します。

   # ipa dnszone-add 0.168.192.in-addr.arpa

7. 逆引きゾーンの BIND 更新ポリシーを表示します。

   # ipa dnszone-show 0.168.192.in-addr.arpa --all | \
   grep "BIND update policy"

   出力例:

   BIND update policy: grant EXAMPLE.COM krb5-subdomain 0.168.192.in-addr.arpa. PTR;

   設定の値をメモします。

8. 逆引きゾーンの設定を更新します。

   # ipa dnszone-mod 0.168.192.in-addr.arpa \
   --dynamic-update=TRUE \
   --update-policy="<existing_policy> grant smartproxy\047foreman.example.com@EXAMPLE.COM wildcard * ANY;"

   既存の値に更新ポリシーを追加する必要があることに注意してください。

手順

1. Satellite Server または Capsule Server がまだ Identity Management ドメインのメンバーでない場合は、次の手順を実行します。

   1. ipa-client パッケージをインストールします。

      # satellite-maintain packages install ipa-client

   2. Identity Management クライアントをインストールします。

      # ipa-client-install

      画面上の指示に従ってください。

2. admin ユーザーの Kerberos チケットを取得します。

   # kinit admin

3. /etc/foreman-proxy/dns.keytab ファイルを削除します。

   # rm --force /etc/foreman-proxy/dns.keytab

4. Capsule 用の Kerberos キータブファイルを取得し、/etc/foreman-proxy/dns.keytab ファイルに保存します。

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -k /etc/foreman-proxy/dns.keytab

   重要

   稼働中の元のシステムと同じホスト名を持つスタンバイシステムにキータブを追加する場合は、新しい認証情報が生成されて元のシステムの認証情報が無効になるのを防ぐために、ipa-getkeytab コマンドに -r オプションを渡してください。

5. /etc/foreman-proxy/dns.keytab の所有者とグループを foreman-proxy に設定します。

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

6. /etc/foreman-proxy/dns.keytab ファイルが有効であることを確認します。

   1. 次のファイルを使用して Kerberos チケットを取得します。

      # kinit -kt /etc/foreman-proxy/dns.keytab \
      capsule/satellite.example.com@EXAMPLE.COM

   2. Kerberos チケットを表示します。

      # klist

      出力例:

      Ticket cache: KCM:0:50473
      Default principal: smartproxy/satellite.example.com@EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      05/20/2025 12:12:35  05/21/2025 11:54:31  krbtgt/EXAMPLE.COM@EXAMPLE.COM

7. Identity Management DNS サービスに接続するように Satellite Server または Capsule Server を設定します。

   # satellite-installer \
   --foreman-proxy-dns true \
   --foreman-proxy-dns-provider nsupdate_gss \
   --foreman-proxy-dns-managed false \
   --foreman-proxy-dns-server "idm-server.example.com" \
   --foreman-proxy-dns-tsig-keytab /etc/foreman-proxy/dns.keytab \
   --foreman-proxy-dns-tsig-principal "capsule/satellite.example.com@EXAMPLE.COM"

8. 対象の Capsule ごとに、Satellite Web UI で Capsule の設定を更新します。詳細は、「DNS サービスをドメインおよびサブネットに関連付ける」 を参照してください。