E.3 GSSAPIを設定するための前提条件

GSSAPIを設定するには、まず次の作業を行う必要があります。

  • SASL-GSSAPIメソッド: SASL-GSSAPIメソッドをインストールします。『NetIQ Modular Authentication Services 3.3 Administration Guide (NetIQ Modular Authentication Services 3.3管理ガイド)』の「Installing a Login Method(ログインメソッドのインストール)」セクションを参照してください。

    メモ:eDirectory SASL-GSSAPIメソッドは、Domain Services for WindowsがインストールされたOpen Enterprise Server (OES)バージョン2または11のインストール環境には機能しません。

    SASL-GSSAPIがコンピュータにインストールされているかどうかを確認するには、次のように入力します。

    ldapsearch -x -h osg-dt-srv9 -b " " -s base | grep -i sasl

    SASL-GSSAPIがインストールされている場合、コマンドの出力は次のようになります。

    supportedSASLMechanisms: NMAS_LOGIN
    supportedSASLMechanisms: GSSAPI

  • iManager用のKerberosプラグイン: iManager用のKerberosプラグインをインストールします。詳細については、「iManager用のKerberosプラグインのインストール」を参照してください。

  • キー配布センター(KDC: Key Distribution Center): Kerberos KDC(MITまたはActive Directory)をネットワーク上にインストールします。

    Microsoft KDC (Active Directory)を使用する場合は、Kerberosツールをインストールしておく必要があります。これらのツールはWindowsインストールの一部であり、WindowsインストールCD上の\support\tools\setup.exe(Windows XP)または\support\tools\suptools.msi(Windows 2003)からインストールできます。

  • 時刻同期: このメソッドを機能させるために、NMASクライアントマシン、NMASサーバマシン、およびKDCマシンの時刻を同期します。ネットワーク時刻の同期の詳細については、ネットワーク時刻の同期を参照してください。

  • Kerberos LDAP拡張 Kerberos LDAP拡張を追加します。詳細については、KerberosのLDAP拡張の追加を参照してください。

    重要:

    • Open Enterprise Server (OES)で、Domain Services for WindowsまたはDNSサービスが設定されているサーバ上にKerberos LDAP拡張を追加しないでください。

    • Kerberosの管理で収集されるKerberos情報では、大文字と小文字が区別されるため、大文字と小文字を正確に指定する必要があります。

E.3.1 ネットワークの特性に関する前提

SASL-GSSAPIメカニズムは次の前提に基いて動作します。

  • ネットワーク上のすべてのコンピュータの時刻がある程度正確に同期されている。言い換えると、システム時刻が5分以上異なる2台のコンピュータがネットワーク上に存在しない。

  • MAN環境やWAN環境では時刻同期に関するこのような要件を満たすことが難しいため、SASL-GSSAPIメカニズムは主にLANでの使用を想定している。ただし、このメカニズムはLANのみに限定されていない。

  • KerberosサーバとKerberos管理者を検証なしで無条件に信頼する。

  • DoS(Denial-of-Service)攻撃に対抗する手段にはならない。詳細については、RFC 1510を参照してください。

E.3.2 iManager用のKerberosプラグインのインストール

  1. ブラウザを開きます。

  2. ブラウザウィンドウのアドレスフィールドに、次のURLを入力します。

    http://hostname/nps/

    ホスト名は、SASL-GSSAPI用のiManagerプラグインをインストールするiManagerサーバのサーバ名またはIPアドレスです。

    メモ:問題が発生した場合は、TomcatおよびWebサーバが正しく設定されていることを確認します。詳細については、『NetIQ iManager 2.7 Administration Guide (NetIQ iManager 2.7管理ガイド)』を参照してください。

  3. eDirectoryにログインするためのユーザ名とパスワードを指定して、［ログイン］をクリックします。

  4. iManagerツールバーで、［設定］ 設定 をクリックします。

  5. 左側のペインで、［プラグインのインストール］>［利用できるNetIQプラグインモジュール］の順にクリックします。

  6. 追加をクリックします。

  7. kerberosPlugin.npmファイルの場所を指定するか、［参照］をクリックしてこのファイルの場所を選択します。

    Kerberos管理プラグインが、eDirectory 88の単一NPM(eDir_88_iMan27_Plugins.npm)の一部として使用でき、またNovellダウンロードサイトからダウンロードすることもできます。

    kerberosPlugin.npmファイルを別の場所に移動した場合は、その場所をブラウズして選択してください。

  8. ［開く］をクリックし、［OK］をクリックします。

  9. ［インストール］をクリックします。

    このインストールには数分かかります。

  10. モジュールが正しく保存されたことを示すメッセージが表示されたら、iManagerサーバを再起動します。

    iManagerを無制限アクセスモードで実行している場合(ツリーにRBSコレクションがない場合)は、ステップ 11からステップ 17をスキップしてください。

    メモ:iManagerサーバの再起動については、『NetIQ iManager管理ガイド』を参照してください。

  11. iManagerにログインして、［設定 ］［設定］ボタンをクリックします。

  12. 左側のペインで、［役割ベースサービス］>［RBSの設定］の順にクリックします。

  13. (状況によって実行)RBSコレクションがない場合は、次の操作を実行します。

    1. ［新規］>［コレクション］の順にクリックします。

    2. コレクションで使用する名前を指定します。

    3. 役割ベースサービスを作成するコンテナを選択して、［OK］をクリックします。

    4. 再度[OK]をクリックします。

  14. ［iManager 2.xコレクション］タブで、使用するコレクションの［モジュール］カラム内の番号をクリックします。

  15. ［Kerberosモジュール］を選択して、［インストール］をクリックします。

  16. ［OK］をクリックして続行します。

  17. iManagerによるモジュールのインストールが完了したら、［OK］をクリックします。

  18. iManagerツールバーで、［役割およびタスク］をクリックします。

    Kerberos管理の役割が左側の画面に表示されます。

    Kerberos管理の役割が表示されない場合は、iManagerサーバを再起動します。

E.3.3 KerberosのLDAP拡張の追加

KerberosのLDAP拡張では、Kerberosキーの管理機能が提供されています。

KerberosのLDAP拡張を使用するには、C言語用のLDAPライブラリをインストールする必要があります。詳細については、「LDAP Libraries for C」を参照してください。

KerberosのLDAP拡張を追加または削除するには、krbLdapConfigユーティリティを使用します。スタンドアロンのeDirectoryパッケージがディレクトリに抽出された場合、このファイルのパスはextracted_folder/nmas/NmasMethods/Novell/GSSAPI/Kerberos_ldap_extensions/Linux/krbLdapConfigです。

例: /misc/eDir88/Linux/nmas/NmasMethods/Novell/GSSAPI/Kerberos_ldap_extensions/Linux/krbLdapConfig

Kerberos LDAP拡張を追加するには、次の構文を使用します。

krbldapconfig {-i | -u} -D bind_DN [-w bind_DN_password] [-h ldap_host] [-p ldap_port] [-e trusted_root_cert]

krbldapconfigユーティリティのパラメータについて、次の表で説明します。

パラメータ

説明

-i

Kerberos LDAP拡張をeDirectoryに追加します。

-u

Kerberos LDAP拡張をeDirectoryから削除します。

-D bind_fdn

管理者または管理者と同等の権利を持つユーザのFDNを指定します。

この指定は、cn=admin,o=orgの形式で指定する必要があります。

-w bind_fdn_password

バインドFDN(bind_fdn)のパスワードを指定します。

-h ldap_server

Kerberos LDAP拡張をインストールする必要があるLDAPサーバのホスト名またはIPアドレスを指定します。

-p port

LDAPサーバが動作しているポートを指定します。

-e trusted_root_file

SSLバインド用のルート認証局証明書のファイル名を指定します。

SSLポートを使用する場合は、-eオプションを指定してください。

詳細については、ルート認証局証明書のエクスポートを参照してください。

メモ:-hオプションを指定しなかった場合は、krbldapconfigの起動元のローカルホストの名前がデフォルトとして使用されます。

LDAPサーバポートとルート認証局証明書を指定しなかった場合は、ポート389がデフォルトで使用されます。

LDAPサーバポートを指定せずにルート認証局証明書を指定した場合は、ポート636がデフォルトで使用されます。

この拡張を追加するには次のように入力します。

krbldapconfig -i -D cn=admin,o=org -w password -h ldapserver -p 389

削除するには次のように入力します。

krbldapconfig -u -D cn=admin,o=org -w password -h ldapserver -p 389

重要:インストールによる変更を有効にするには、LDAPサーバを手動でリフレッシュする必要があります。詳細については、LDAPサーバをリフレッシュするを参照してください。

E.3.4 ルート認証局証明書のエクスポート

  1. iManagerで、［ディレクトリ管理］>［オブジェクトの変更］の順にクリックして、［オブジェクトの変更］ページを開きます。

  2. ［オブジェクトセレクタ］を使用して、サーバのサーバ証明書オブジェクトを選択します。

  3. OKをクリックします。

  4. ［証明書］タブをクリックし、［ルート認証局の証明書］を選択して証明書の詳細を表示します。

  5. エクスポートをクリックします。

  6. ［証明書］ドロップダウンメニューをクリックして、エクスポートする証明書を選択します。

  7. 秘密鍵をエクスポートするかどうかを指定します。秘密鍵をエクスポートする場合、秘密鍵を保護するためのパスワードを指定する必要があります。

  8. 次へをクリックします。

  9. ［Save the exported certificate］をクリックします。

  10. ［Save File (ファイルの保存)］をクリックします。

  11. 閉じるをクリックします。