8.2. Identity Management の使用

手順8.2 Satellite Server での IdM 認証の設定:

1. 以下のように、IdM サーバー上で Satellite Server のホストエントリーを作成し、ワンタイムパスワードを生成します。

   # ipa host-add --random hostname

   注記
   IdM 登録を完了するには、生成されたワンタイムパスワードをクライアントで使用する必要があります。
   ホスト設定プロパティーの詳細は、Red Hat Enterprise Linux 7 Linux Domain Identity, Authentication, and Policy Guideを参照してください。^[5].
2. 以下のように、Satellite Server 向けの HTTP サービスを作成します。

   # ipa service-add servicename/hostname

   サービスの管理に関する詳細は、Red Hat Enterprise Linux 7 Linux Domain Identity, Authentication, and Policy Guideを参照してください。^[6].
3. Satellite Server で、IdM 登録を設定するために、root で以下のコマンドを実行します。

   # ipa-client-install --password OTP

   OTP を、IdM 管理者により提供されたワンタイムパスワードに置き換えます。
4. Satellite Server が Red Hat Enterprise Linux 7 上で実行されている場合は、以下のコマンドを実行します。

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   インストーラーは、オプションのリポジトリー rhel-7-server-optional-rpms にあるパッケージに依存します。Red Hat Enterprise Linux 6 では、必要なすべてのパッケージは base リポジトリーに含まれます。
5. 以下のコマンドを実行します。

   # satellite-installer --foreman-ipa-authentication=true

   このコマンドは、Satellite のフレッシュインストールに限定されません。既存の Satellite インストールを変更するためにも使用できます。
6. Katello サービスを再起動します。

   # katello-service restart

手順8.3 HBAC の設定:

1. HBAC サービスおよびルールを IdM サーバーで作成し、リンクします。以下の例では、satellite-prod という PAM サービス名を使用しています。IdM サーバー上で次のコマンドを実行します。

   $ ipa hbacsvc-add satellite-prod
   $ ipa hbacrule-add allow_satellite_prod
   $ ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod
   

2. サービス satellite-prod へのアクセスを持つユーザーと Satellite Server のホスト名を追加します。

   $ ipa hbacrule-add-user allow_satellite_prod --user=username
   $ ipa hbacrule-add-host allow_satellite_prod --hosts=the-satellite-fqdn

   または、allow_satellite_prod ルールにホストグループとユーザーグループを追加できます。
3. ルールのステータスを確認するために、以下のコマンドを実行します。

   $ ipa hbacrule-find satellite-prod
   $ ipa hbactest --user=username --host=the-satellite-fqdn --service=satellite-prod
   

4. IdM サーバーで allow_all ルールが無効であることを確認します。他のサービスに影響を与えずにこのルールを無効にする方法については、Red Hat カスタマーポータルのアーティクル How to configure HBAC rules in IdM to allow specific users to login to clients via ssh を参照してください。^[8].
5. 手順8.2「Satellite Server での IdM 認証の設定:」 の説明に従って、Satellite Server で IdM 統合を設定します。Satellite Server で、root として PAM サービスを定義します。

   # satellite-installer --foreman-pam-service=satellite-prod