40.10. 호스트 및 서비스에 대한 액세스 위임

프로세스

1. service-add-host 명령을 사용하여 서비스 관리를 특정 호스트에 위임합니다.

   ipa service-add-host principal --hosts=<hostname>

   principal 인수와 --hosts 옵션을 사용하여 제어되는 호스트를 사용하여 서비스 주체를 지정해야 합니다.

   예를 들면 다음과 같습니다.

   [root@server ~]# ipa service-add HTTP/web.example.com
   [root@server ~]# ipa service-add-host HTTP/web.example.com --hosts=client1.example.com

2. 호스트가 권한을 위임하면 호스트 주체를 사용하여 서비스를 관리할 수 있습니다.

   [root@client1 ~]# kinit -kt /etc/krb5.keytab host/client1.example.com
   [root@client1 ~]# ipa-getkeytab -s server.example.com -k /tmp/test.keytab -p HTTP/web.example.com
   Keytab successfully retrieved and stored in: /tmp/test.keytab

3. 위임된 서비스에 대한 인증서를 생성하려면 위임된 권한이 있는 호스트에 인증서 요청을 생성합니다.

   [root@client1]# kinit -kt /etc/krb5.keytab host/client1.example.com
   [root@client1]# openssl req -newkey rsa:2048 -subj '/CN=web.example.com/O=EXAMPLE.COM' -keyout /etc/pki/tls/web.key -out /tmp/web.csr -nodes
   Generating a 2048 bit RSA private key
   .............................................................+++
   ............................................................................................+++
   Writing new private key to '/etc/pki/tls/private/web.key'

4. cert-request 유틸리티를 사용하여 인증서 요청을 제출하고 인증 정보를 로드합니다.

   [root@client1]# ipa cert-request --principal=HTTP/web.example.com web.csr
   Certificate: MIICETCCAXqgA...[snip]
   Subject: CN=web.example.com,O=EXAMPLE.COM
   Issuer: CN=EXAMPLE.COM Certificate Authority
   Not Before: Tue Feb 08 18:51:51 2011 UTC
   Not After: Mon Feb 08 18:51:51 2016 UTC
   Serial number: 1005