E.5 SASL-GSSAPIメソッドの管理

iManagerでは、Kerberosに関する次の操作を実行できます。

E.5.1 Kerberosスキーマの拡張

この作業を行うと、Kerberosのオブジェクトクラスと属性定義を使用してeDirectoryスキーマを拡張できます。

  1. スキーマがまだ拡張されていない場合は、［OK］をクリックしてスキーマを拡張します。

  2. iManagerで、［Kerberos管理］>［スキーマの拡張］の順にクリックして、［スキーマの拡張］ページを開きます。

    スキーマが既に拡張されている場合は、ステータスと一緒にメッセージが表示されます。

  3. 閉じるをクリックします。

E.5.2 Kerberosレルムオブジェクトの管理

レルムとは、複数のKDC(Key Distribution Center)によって管理される論理ネットワークです。つまり、レルムとは、複数のKDCによって管理されるドメインまたはプリンシパルのグループです。慣例的に、レルム名はすべて大文字で記述され、インターネットドメインと区別されます。詳細については、RFC 1510を参照してください。

このセクションでは次のことについて説明します。

新しいレルムオブジェクトの作成

サポートされているデフォルトの暗号化タイプはDES-CBC-CRCです。

  1. iManagerで、［Kerberos管理］>［レルムの新規作成］の順にクリックして、［レルムの新規作成］ページを開きます。

  2. 作成するケルベロスレルムの名前を指定します。

    レルム名は、このログインメソッドを設定する際に指定するレルム名と一致している必要があり、RFC 1510の命名規則に準拠している必要があります。

  3. レルムのマスタパスワードを指定して、パスワードを確認します。

    メモ:マスタパスワードには必ず強力なパスワードを使用してください。

  4. Kerberosレルムに設定するサブツリーおよびプリンシパルコンテナ参照を指定するか、［オブジェクトセレクタ］アイコンを使用してそれらを選択します。

    これは、このレルムのeDirectoryサービスプリンシパルを格納するサブツリーまたはコンテナのFDNです。このサブツリーはユーザプリンシパルには適用できません。

  5. サブツリー検索の範囲を次のように指定します。

    • 1レベル:レルムサブツリーの直下を検索します。

    • サブツリー:レルムサブツリー以下のサブツリー全体を検索します。

  6. OKをクリックします。

メモ:SASL-GSSAPIでは［KDCサービス］ボックスは使用しません。

メモ:eDirectoryコンテナ管理者がLDAP SASL GSSAPI認証用のKerberosレルムをツリーに設定する必要がある場合、ツリー管理者は次の手順を実行する必要があります。

  1. セキュリティコンテナオブジェクト(cn=security)にオブジェクトクラスのkrbContainerRefAuxが含まれており、krbContainerReference属性がKerberosコンテナに設定されていることを確認します。

  2. コンテナ管理者にkrbContainerReference属性に対する読み込みアクセス権を付与します。

  3. Kerberosコンテナの下にレルムコンテナを作成します。コンテナの名前は作成する新規レルムの名前と同じにする必要があり、オブジェクトクラスはkrbRealmContainerにする必要があります。

  4. コンテナ管理者にレルムコンテナに対するスーパバイザ権を付与します。

iManagerにコンテナ管理者としてログインし、［Kerberos管理］>［マスタキーの設定］の順に選択して［マスタキーの設定］ページを開きます。［MIT KDC realm］を選択して、マスタパスワードを指定します。

レルムオブジェクトの編集

  1. iManagerで、［Kerberos管理］>［レルムの編集］の順にクリックして、［レルムの編集］ページを開きます。

  2. 編集するKerberosレルムの名前を指定するか、［オブジェクトセレクタ］アイコンを使用してKerberosレルムを選択します。

  3. OKをクリックします。

  4. Kerberosレルムに設定するサブツリーを指定するか、［オブジェクトセレクタ］アイコンを使用してサブツリーを選択します。

    これは、このレルムのeDirectoryサービスプリンシパルを格納するサブツリーまたはコンテナのFDNです。このサブツリーはユーザプリンシパルには適用できません。

  5. サブツリー検索のスコープを指定します。

    • 1レベル:レルムサブツリーの直下を検索します。

    • サブツリー:レルムサブツリー以下のサブツリー全体を検索します。

  6. OKをクリックします。

  7. (オプション)別のレルムを編集するには、［タスクの繰り返し］をクリックします。

メモ:SASL-GSSAPIでは［KDCサービス］ボックスは使用しません。

レルムオブジェクトの削除

  1. iManagerで、［Kerberos管理］>［レルムの削除］の順にクリックして、［レルムの削除］ページを開きます。

  2. 削除するレルムを選択します。

    複数のレルムを選択するには、<Shift>キーを押しながらレルムを選択するか、<Shift>キーを押しながら矢印キーを押します。

  3. OKをクリックします。

  4. もう一度［OK］をクリックして削除操作を確定するか、［キャンセル］をクリックして削除操作をキャンセルします。

重要:レルムオブジェクトを削除すると、そのレルムにあるすべてのサービスプリンシパルオブジェクトが削除されます。

E.5.3 サービスプリンシパルの管理

このセクションでは次のことについて説明します。

LDAPサーバ用のサービスプリンシパルの作成

KDCに付属するKerberos管理ツールを使用して、暗号化タイプとsaltタイプをそれぞれAES256-CTSとNormalに設定してeDirectoryサービスプリンシパルを作成します。

プリンシパルの名前は、ldap/MYHOST.MYDNSDOMAIN@REALMNAMEの形式にする必要があります。

MIT KDCを使用している場合は、次のようなコマンドを実行します。

kadmin:addprinc -randkey -e aes256-cts:normal ldap/server.novell.com@MITREALM

重要:作成したサービスプリンシパルのホスト名は、小文字でなければなりません。ホスト名が大文字の場合、認証は失敗します。たとえば、ホスト名が「myHost.com」の場合、LDAPサービスプリンシパルのホスト名の構文は、ldap/myhost.com@<realmname>のようになります。

ベストプラクティス

  • すべてのキーのタイプをAES256にすることをお勧めします。

  • LDAPサービスプリンシパルキーを定期的に変更します。LDAPサービスプリンシパルキーを変更した場合は、必ずeDirectory内のプリンシパルオブジェクトを更新してください。

eDirectory用のサービスプリンシパルキーの抽出

KDCに付属するKerberos管理ツールを使用して、LDAPサーバ用のサービスプリンシパルの作成で作成したLDAPサービスプリンシパルのキーを抽出し、ローカルファイルシステムに保存します。この作業を行うには、Kerberos管理者の協力が必要です。

MIT KDCを使用している場合は、次のようなコマンドを実行します。

kadmin: ktadd -k /directory_path/keytabfilename -e aes256-cts:normal ldap/server.novell.com@MITREALM

Microsoft KDCを使用している場合は、たとえばActive DirectoryでldapMYHOSTというユーザを作成してから、次のコマンドを実行します。

ktpass -princ ldap/MYHOST.MYDNSDOMAIN@MYREALM -mapuser ldapMYHOST -pass mypassword -out MYHOST.keytab

このコマンドを実行すると、プリンシパル(ldap/MYHOST.MYDNSDOMAIN@MYREALM)がユーザアカウント(ldapMYHOST)にマップされ、ホストプリンシパルのパスワードがmypasswordに設定され、MYHOST.keytabファイルに鍵が抽出されます。

eDirectoryでのサービスプリンシパルオブジェクトの作成

で指定した名前を使用してKerberosサービスプリンシパル(ldap/MYHOST.MYDNSDOMAIN@MYREALM)を作成する必要があります。LDAPサーバ用のサービスプリンシパルの作成

ベストプラクティス

eDirectory用のサービスプリンシパルは、SASL GSSAPIメカニズムを使用できるすべてのサーバからいつでもアクセスできるようになっている必要があります。セキュリティコンテナ内のKerberosレルムコンテナの下にこれらのeDirectoryサービスプリンシパルを作成しない場合は、これらのeDirectoryサービスプリンシパルを含むコンテナを独立したパーティションとして作成し、そのコンテナを広範囲で複製することをお勧めします。

  1. iManagerで、［Kerberos管理］>［プリンシパルの新規作成］の順にクリックして、［プリンシパルの新規作成］ページを開きます。

  2. 作成するプリンシパルの名前を指定します。

    プリンシパルの名前は、ldap/MYDNSDOMAIN@REALMNAMEの形式にする必要があります。

  3. プリンシパルオブジェクトを作成するコンテナの名前を指定するか、［オブジェクトセレクタ］アイコンを使用してコンテナを選択します。

  4. レルムの名前を指定します。

    ステップ 2でレルムの名前を指定した場合は、このフィールドを空白のままにします。

  5. 次のいずれかを実行します:

    • keytabファイル名を指定するか、［参照］をクリックしてkeytabファイルが保存されている場所を選択します。

      このファイルには、eDirectory用のサービスプリンシパルキーの抽出で抽出されたキーが保存されています。

    • パスワードを指定して確定し、暗号化タイプとソルトタイプの組み合わせを選択します。

      パスワードと暗号化/ソルトタイプの組み合わせは、KDCデータベース内のサービスプリンシパルを作成したときに指定した組み合わせと一致させる必要があります。

  6. OKをクリックします。

Kerberosサービスのプリンシパルキーの表示

  1. iManagerで、［Kerberos管理］>［キー情報の表示］の順にクリックして、［View Principal Keys］ページを開きます。

  2. 表示するプリンシパルキーの名前を指定するか、［オブジェクトセレクタ］アイコンを使用してプリンシパルキーを選択します。

    プリンシパルキーについて次の情報が表示されます。

    • プリンシパル名

    • 鍵情報

      • 番号:キーテーブル内の鍵のシリアル番号

      • バージョン:キーのバージョン

      • キータイプ:このプリンシパルキーのタイプ

      • Saltタイプ:このプリンシパルキーのSaltタイプ

  3. OKをクリックします。

Kerberosサービスのプリンシパルオブジェクトの削除

1つまたは複数のオブジェクトを削除できます。また、削除するプリンシパルオブジェクトの高度な選択を行えます。

単一のプリンシパルオブジェクトを削除する

  1. iManagerで、［Kerberos管理］>［プリンシパルの削除］の順にクリックして、［プリンシパルの削除］ページを開きます。

  2. ［単一オブジェクトの選択］をクリックします。

  3. 削除するプリンシパルオブジェクトの名前を指定するか、［オブジェクトセレクタ］アイコンを使用してプリンシパルオブジェクトを選択します。

  4. OKをクリックします。

  5. もう一度［OK］をクリックして削除操作を確定するか、［キャンセル］をクリックして削除操作をキャンセルします。

複数のオブジェクトを削除するには、次の操作を実行します。

  1. iManagerで、［Kerberos管理］>［プリンシパルの削除］の順にクリックして、［プリンシパルの削除］ページを開きます。

  2. ［複数オブジェクトの選択］をクリックします。

  3. 削除するプリンシパルオブジェクトの名前を指定するか、［オブジェクトセレクタ］アイコンを使用してオブジェクトを選択します。

  4. 削除するプリンシパルを選択します。

  5. OKをクリックします。

  6. もう一度［OK］をクリックして削除操作を確定するか、［キャンセル］をクリックして削除操作をキャンセルします。

高度な選択方法でプリンシパルオブジェクトを削除するには、次の操作を実行します。

  1. iManagerで、［Kerberos管理］>［プリンシパルの削除］の順にクリックして、［プリンシパルの削除］ページを開きます。

  2. ［高度な選択］をクリックします。

  3. オブジェクトクラスを選択します。

  4. プリンシパルオブジェクトが格納されているコンテナを指定するか、［オブジェクトセレクタ］アイコンを使用してコンテナを選択します。

  5. ステップ 3で指定したコンテナのサブコンテナも含める場合は、［サブコンテナを含める］をクリックします。

  6. ［高度な選択条件の入力］をクリックして、［高度な選択条件］ウィンドウを開きます。

  7. ドロップダウンリストから属性タイプと演算子を選択して、対応する値を入力します。

  8. 論理グループをさらに選択条件に含めるには、［行の追加 ］追加をクリックします。

  9. ［OK］をクリックしてフィルタを設定します。

  10. ［プレビューの表示］をクリックして、高度な選択のプレビューを表示します。

  11. OKをクリックします。

  12. もう一度［OK］をクリックして削除操作を確定するか、［キャンセル］をクリックして削除操作をキャンセルします。

Kerberosサービスプリンシパルのパスワードの設定

KDCでeDirectoryサービスのプリンシパルキーがリセットされた場合は、eDirectoryでもそのプリンシパルキーを更新する必要があります。

キーの抽出については、eDirectory用のサービスプリンシパルキーの抽出を参照してください。

  1. iManagerで、［Kerberos管理］>［プリンシパルパスワードの設定］の順にクリックして、［プリンシパルパスワードの設定］ページを開きます。

  2. 個別にパスワードを設定する必要があるプリンシパルオブジェクトの名前を指定するか、［オブジェクトセレクタ］アイコンを使用してプリンシパルオブジェクトを選択します。

  3. keytabファイル名を指定するか、［参照］をクリックしてkeytabファイルが保存されている場所をブラウズします。

  4. 次のいずれかを実行します:

  5. ［OK］をクリックしてパスワードを設定します。

  6. (オプション)別のプリンシパルのパスワードを設定するには、［タスクの繰り返し］をクリックします。

E.5.4 外部プリンシパルの編集

iManagerを使用して、Kerberosプリンシパル名をeDirectoryに追加できます。

  1. iManagerで、［Kerberos管理］>［外部プリンシパルの編集］の順にクリックして、［外部プリンシパルの編集］ページを開きます。

  2. 有効なユーザオブジェクトのFDNを指定するか、［オブジェクトセレクタ］アイコンを使用してユーザオブジェクト参照を選択します。

  3. OKをクリックします。

  4. 外部プリンシパル名を指定して、［追加 ］追加をクリックします。

    プリンシパル名は、principalname@REALMNAMEの形式にする必要があります。

    外部プリンシパル名を削除するには、名前を選択して、［削除 ］削除をクリックします。

  5. OKをクリックします。

    メモ:Kerberosのプリンシパル名は、ツリー内で固有にする必要があります。eDirectoryをKDCレルムへのLDAPバックエンドとして設定する場合、外部プリンシパル名をそのレルムのeDirectoryに設定しないでください。代わりに、次のコマンドを使用して、既存のKerberosプリンシパル名をeDirectoryのユーザDNに関連付けることができます。

    kadmin.local -q 'modprinc -x linkdn=<eDir DN> <principal>@<realm>'

    Kerberosプリンシパル名は、プリンシパルの作成時に次のコマンドのいずれかを使用して、eDirectoryのユーザDNに関連付けることもできます。

    kadmin.local -q 'ank -x dn=<eDir DN> <principal>@<realm>'

    kadmin.local -q 'ank -x linkdn=<eDir DN> <principal>@<realm>'

E.5.5 MIT Kerberos KDCでeDirectoryをバックエンドとして使用する場合の、SASL GSSAPI認証の設定

MIT Kerberos KDCでeDirectoryをバックエンドとして使用する場合に、SASL GSSAPIを使用してMIT KDCプリンシパルにeDirectoryから認証を受けることができるようにするには、MIT KDCの設定後に次の手順を実行します。

  1. iManagerで、セキュリティコンテナオブジェクト(cn=security)を次のように編集します。

    1. オブジェクトクラスのkrbContainerRefAuxをセキュリティコンテナに追加します。

    2. krbContainerReference属性をKerberosのコンテナを指示するように設定します。

      次に例を示します。

      cn=Kerberos,cn=Security

  2. iManagerで、［Kerberos管理］>［マスタキーの設定］の順に選択して［マスタキーの設定］ページを開きます。

    重要:MIT KDCで使用されるマスタキーを選択します。

  3. MIT KDCレルムを選択して、パスワードを指定します。このパスワードは、kdb5_ldap_utilを使用してそのMIT KDCレルムを作成した際にマスタパスワードとして使用したパスワードです。

メモ:Kerberosレルムがツリー管理者ではないユーザによって作成されている場合、ツリー管理者はKerberosコンテナに対するエントリの作成権をそのユーザに付与する必要があります。