第13章 外部認証の設定

手順

1. LDAP サーバーから証明書を取得します。

   1. Active Directory 証明書サービスを使用する場合は、ベース 64 エンコード X.509 形式を使用してエンタープライズ PKI CA 証明書をエクスポートします。Active Directory サーバーでの CA 証明書の作成およびエクスポートについては、「How to configure Active Directory authentication with TLS on Satellite 6」を参照してください。

   2. LDAP サーバー証明書は、Satellite Server がインストールされている Red Hat Enterprise Linux システムの一時的な場所にダウンロードし、終了時に削除します。

      たとえば、/tmp/example.crt です。ファイル名の拡張子を .cer と .crt にすることが唯一の規則であり、この拡張子は、DER バイナリーまたは PEM ASCII の形式の証明書を参照できます。

2. LDAP サーバーからの証明書を信頼します。

   Red Hat Satellite Server では、LDAP 認証用の CA 証明書は /etc/pki/tls/certs/ ディレクトリー内の個別ファイルである必要があります。

   1. install コマンドを使用して適切なパーミッションでインポート済みの証明書を /etc/pki/tls/certs/ ディレクトリーにインストールします。

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. root で以下のコマンドを実行して、LDAP サーバーから取得した example.crt 証明書を信頼します。

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. httpd サービスを再起動します。

      # systemctl restart httpd

手順

1. Network Information System (NIS) サービスのブール値を true に設定して SELinux により LDAP の送信接続がブロックされないようにします。

   # setsebool -P nis_enabled on

2. 管理 > LDAP 認証 に移動します。
3. 認証ソースの作成 をクリックします。
4. LDAP サーバータブで LDAP サーバーの名前、ホスト名、ポート、およびサーバータイプを入力します。デフォルトポートは 389、デフォルトサーバータイプは POSIX です (認証サーバーのタイプに応じて FreeIPA または Active Directory を選択することもできます)。TLS 暗号化接続に対しては、LDAPS チェックボックスを選択して暗号化を有効にします。ポートは LDAPS のデフォルト値である 636 に変更されるはずです。
5. アカウント タブでアカウント情報とドメイン名の詳細を入力します。説明と例については、「LDAP 設定の説明」を参照してください。
6. Attribute mappings タブで LDAP 属性を Satellite 属性にマッピングします。ログイン名、名、姓、メールアドレス、および写真の属性をマッピングできます。例については、「LDAP 接続の設定例」を参照してください。
7. ロケーション タブで、左側の表からロケーションを選択します。選択したロケーションは、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
8. 組織 タブで、左側の表から組織を選択します。選択した組織は、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
9. 送信 をクリックします。

10. LDAP ユーザーの新しいアカウントを設定します。

    • Onthefly Register チェックボックスを選択していない場合は、「ユーザーの作成」を参照してユーザーアカウントを手動で作成します。
    • Onthefly Register チェックボックスを選択した場合は、LDAP ユーザーは LDAP アカウントおよびパスワードを使用して Satellite にログインできます。最初にログインした後に、Satellite 管理者がロールを手動で割り当てる必要があります。Satellite でユーザーアカウントに適切なロールを割り当てる方法は、「ユーザーへのロールの割り当て」を参照してください。

手順

1. IdM サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. 以下のように、IdM サーバー上で Satellite Server のホストエントリーを作成し、ワンタイムパスワードを生成します。

   # ipa host-add --random hostname

   注記

   IdM 登録を完了するには、生成されたワンタイムパスワードをクライアントで使用する必要があります。

   ホスト設定プロパティーの詳細は、『Red Hat Enterprise Linux 7 Linux ドメイン ID、認証、およびポリシーガイドのホストエントリー設定のプロパティー』を参照してください。

4. 以下のように、Satellite Server 向けの HTTP サービスを作成します。

   # ipa service-add servicename/hostname

   サービス管理の詳細については、『Red Hat Enterprise Linux 7 Linux ドメイン ID、認証、およびポリシー』ガイドの「サービスの管理」を参照してください。

5. Satellite Server で、IPA クライアントをインストールします。

   # yum install ipa-client

6. Satellite Server で、以下のコマンドを root として入力し、IdM 登録を設定します。

   # ipa-client-install --password OTP

   OTP を、IdM 管理者により提供されたワンタイムパスワードに置き換えます。

7. Satellite Server が Red Hat Enterprise Linux 7 で実行されている場合は、以下のコマンドを実行します。

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   インストーラーは、オプションのリポジトリー rhel-7-server-optional-rpms (Red Hat Enterprise Linux 7 の場合) に含まれるパッケージに依存します。Red Hat Enterprise Linux 6 の場合、必要なすべてのパッケージは base リポジトリーに含まれます。

8. 以下のコマンドを使用して、foreman-ipa-authentication を true に設定します。

   # satellite-installer --foreman-ipa-authentication=true

9. Satellite サービスを再起動します。

   # foreman-maintain service restart

手順

1. IdM サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. HBAC サービスおよびルールを IdM サーバーで作成し、リンクします。以下の例では、satellite-prod という PAM サービス名を使用しています。IdM サーバー上で以下のコマンドを実行してください。

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. satellite-prod サービスへのアクセス権があるユーザーと Satellite Server のホスト名を追加します。

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=the-satellite-fqdn

   または、allow_satellite_prod ルールにホストグループとユーザーグループを追加します。

5. ルールのステータスを確認するために、以下のコマンドを実行します。

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=the-satellite-fqdn --service=satellite-prod

6. IdM サーバーで allow_all ルールが無効であることを確認します。他のサービスに影響を与えずにこのルール無効にする方法については、Red Hat カスタマーポータルのアーティクル「How to configure HBAC rules in IdM」を参照してください。

7. 「Satellite Server での IdM 認証の設定」で説明されているように、Satellite Server で IdM 統合を設定します。Satellite Server で、root として PAM サービスを定義します。

   # satellite-installer --foreman-pam-service=satellite-prod

手順

1. 必要なパッケージをインストールします。

   # yum install sssd adcli realmd ipa-python-compat krb5-workstation

2. Satellite Server を AD サーバーに登録します。以下のコマンドを実行するには、管理者パーミッションが必要な場合があります。

   # realm join -v EXAMPLE.ORG

手順

1. /etc/ipa/ ディレクトリーと default.conf ファイルを作成します。

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. default.conf ファイルに以下のコンテンツを追加します。

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 以下の内容で /etc/net-keytab.conf ファイルを作成します。

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. Apache ユーザーの有効なユーザー ID を特定します。

   # id apache

   Apache ユーザーには keytab ファイルへのアクセス権を割り当てないでください。

5. 以下の内容で /etc/gssproxy/00-http.conf ファイルを作成します。

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/krb5.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. 以下の行を /etc/krb5.conf ファイルの先頭に挿入します。

   includedir /var/lib/sss/pubconf/krb5.include.d/

7. keytab エントリーを作成します。

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

8. Satellite の IPA 認証を有効にします。

   # satellite-installer --foreman-ipa-authentication=true

9. gssproxy サービスを起動して、有効にします。

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

10. Apache サーバーが gssproxy サービスを使用するように設定します。

    1. 以下の内容で /etc/systemd/system/httpd.service ファイルを作成します。

       .include /lib/systemd/system/httpd.service
       [Service]
       Environment=GSS_USE_PROXY=1

    2. 変更をサービスに適用します。

       # systemctl daemon-reload

11. httpd サービスを起動して、有効にします。

    # systemctl restart httpd.service

12. SSO が想定どおりに動作していることを確認します。

    Apache サーバーが実行中であり、クライアントに有効な Kerberos チケットがある場合、サーバーに対して HTTP 要求を行うユーザーは認証されます。

    1. 次のコマンドを使用して、LDAP ユーザーの Kerberos チケットを取得します。

       # kinit ldapuser

    2. 以下のコマンドを使用して、Kerberos チケットを表示します。

       # klist

    3. 以下のコマンドを使用して、SSO 認証に成功時の出力を表示します。

       # curl -k -u : --negotiate https://satellite.example.com/users/extlogin
       <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

手順

1. HBAC を有効にします。

   1. 外部グループを作成して、この外部グループに AD グループを追加します。
   2. 新しい外部グループを POSIX グループに追加します。
   3. HBAC ルールで POSIX グループを使用します。

2. AD ユーザーの追加属性を転送するよう sssd を設定します。

   • この AD ユーザー属性を /etc/sssd/sssd.conf の nss セクションと domain セクションに追加します。

     例を示します。

     [nss]
     user_attributes=+mail, +sn, +givenname
     
     [domain/EXAMPLE]
     ldap_user_extra_attrs=mail, sn, givenname

Red Hat Satellite Server または Capsule Server での IdM レルムサポートの設定:

1. Satellite Server または Capsule Server に以下のパッケージをインストールします。

   # yum install ipa-client foreman-proxy ipa-admintools

2. IdM クライアントとして Satellite Server (または Capsule Server) を設定します。

   # ipa-client-install

3. Satellite Server または Capsule Server の Red Hat Identity Management で realm-capsule ユーザーと関連ロールを作成します。

   # foreman-prepare-realm admin realm-capsule

   foreman-prepare-realm を実行して、Capsule Server と使用するよう IdM サーバーを準備します。これにより、Satellite に必要なパーミッションを持つ専用ロールと、そのロールを持つユーザーが作成され、keytab ファイルが取得されます。この手順では Identity Management サーバー設定の詳細が必要になります。

   コマンドが正常に実行されると、以下の出力が表示されます。

   Keytab successfully retrieved and stored in: freeipa.keytab
   Realm Proxy User:    realm-capsule
   Realm Proxy Keytab:  /root/freeipa.keytab

   注記

   同じプリンシパルとレルムを使用して Satellite Server と、外部の Capsule Server 1 台以上を設定し、 IdM レルムをサポートするには、foreman-prepare-realm スクリプトを実行してから、これまでに登録したすべての Capsule Server に /root/freeipa.keytab ファイルをコピーする必要があります。

   # scp /root/freeipa.keytab your_username@capsule.example.com:/etc/foreman-proxy/freeipa.keytab

4. /root/freeipa.keytab を /etc/foreman-proxy ディレクトリーに移動し、ユーザーの foreman-proxy に所有者設定を行います。

   # mv /root/freeipa.keytab /etc/foreman-proxy
   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/freeipa.keytab

5. Satellite Server または Capsule Server のどちらを使用しているかに応じてレルムを設定します。

   • Satellite Server で統合された Capsule Server を使用している場合は、レルムを設定するために satellite-installer を使用します。

     # satellite-installer --foreman-proxy-realm true \
     --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \
     --foreman-proxy-realm-principal realm-capsule@EXAMPLE.COM \
     --foreman-proxy-realm-provider freeipa

     注記

     これらのオプションは、Red Hat Satellite Server を初めて設定する場合にも実行できます。

   • 外部の Capsule Server を使用している場合は、レルムを設定するために satellite-installer --scenario capsule を使用します。

     # satellite-installer --scenario capsule \
     --foreman-proxy-realm true \
     --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \
     --foreman-proxy-realm-principal realm-capsule@EXAMPLE.COM \
     --foreman-proxy-realm-provider freeipa

6. ca-certificates パッケージの最新バージョンがインストールされ、IdM 認証局が信頼されていることを確認します。

   # cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt
   # update-ca-trust enable
   # update-ca-trust

7. (オプション) すでに存在する Satellite Server または Capsule Server で IdM を設定している場合は、設定の変更を反映するために以下の手順も実行する必要があります。

   1. foreman-proxy サービスを再起動します。

      # service foreman-proxy restart

   2. Satellite Server にログインし、インフラストラクチャー > Capsules (スマートプロキシー) に移動します。
   3. IdM 用に設定した Capsule Server の右側にあるドロップダウンメニューをクリックし、機能の更新 を選択します。

8. 最後に、Satellite Server ユーザーインターフェースで新規のレルムエントリーを作成します。

   1. インフラストラクチャー > レルム に移動し、メインページの右側にある 新規レルム をクリックします。

   2. 以下のサブタブのフィールドに値を入力します。

      • レルム サブタブで、レルム名、使用するレルムの種類、およびレルムプロキシーを指定します。
      • ロケーション サブタブで、新規レルムを使用する予定のロケーションを選択します。
      • 組織 サブタブで、新規レルムを使用する予定の組織を選択します。
   3. 送信 をクリックします。

IdM ホストグループへのホストの追加:

1. IdM サーバー上で、ホストグループを作成します。

   # ipa hostgroup-add hostgroup_name
   Description: hostgroup_description
   ----------------------------
   Added hostgroup "hostgroup_name"
   ----------------------------
   Host-group: hostgroup_name
   Description: hostgroup_description

   ここで、

   • hostgroup_name はホストグループの名前です。
   • hostgroup_description はホストグループの説明です。

2. automembership のルールを作成します。

   # ipa automember-add --type=hostgroup automember_rule
   ----------------------------------
   Added automember rule "automember_rule"
   ----------------------------------
   Automember Rule: automember_rule

   ここで、

   • automember-add は automember グループとしてグループにフラグを立てます。
   • --type=hostgroup は、ターゲットグループがユーザーグループではなく、ホストグループであることを特定します。
   • automember_rule は、automember ルールの特定に使用する名前です。

3. userclass 属性に基づいて automembership の条件を定義します。

   # ipa automember-add-condition --key=userclass --type=hostgroup --inclusive-regex=^webserver hostgroup_name
   ----------------------------------
   Added condition(s) to "hostgroup_name"
   ----------------------------------
   Automember Rule: automember_rule
   Inclusive Regex: userclass=^webserver
   ----------------------------
   Number of conditions added 1
   ----------------------------

   ここで、

   • automember-add-condition により、グループメンバーを特定するための正規表現の条件を追加することができます。
   • --key=userclass はキー属性を userclass に指定します。
   • --type=hostgroup は、ターゲットグループがユーザーグループではなく、ホストグループであることを特定します。
   • --inclusive-regex= ^webserver は、一致する値を特定するための正規表現パターンです。
   • hostgroup_name はターゲットホストグループの名前です。