次のKerberos操作を実行できます。
このセクションでは次のことについて説明します。
KDCに付属するKerberos管理ツールを使用して、暗号化タイプとsaltタイプをそれぞれAES256-CTSとNormalに設定してOpenText eDirectoryサービスプリンシパルを作成します。
プリンシパルの名前は、ldap/MYHOST.MYDNSDOMAIN@REALMNAMEの形式にする必要があります。
MIT KDCを使用している場合は、次のようなコマンドを実行します。
kadmin:addprinc -randkey -e aes256-cts:normal ldap/server.novell.com@MITREALM
重要:作成したサービスプリンシパルのホスト名は、小文字でなければなりません。ホスト名が大文字の場合、認証は失敗します。たとえば、ホスト名が「myHost.com」の場合、LDAPサービスプリンシパルのホスト名の構文は、ldap/myhost.com@<realmname>のようになります。
すべてのキーのタイプをAES256にすることをお勧めします。
LDAPサービスプリンシパルキーを定期的に変更します。LDAPサービスプリンシパルキーを変更した場合は、必ずOpenText eDirectory内のプリンシパルオブジェクトを更新してください。
KDCに付属するKerberos管理ツールを使用して、LDAPサーバ用のサービスプリンシパルの作成で作成したLDAPサービスプリンシパルのキーを抽出し、ローカルファイルシステムに保存します。この作業を行うには、Kerberos管理者の協力が必要です。
MIT KDCを使用している場合は、次のようなコマンドを実行します。
kadmin: ktadd -k /directory_path/keytabfilename -e aes256-cts:normal ldap/server.novell.com@MITREALM
Microsoft KDCを使用している場合は、たとえばActive DirectoryでldapMYHOSTというユーザを作成してから、次のコマンドを実行します。
ktpass -princ ldap/MYHOST.MYDNSDOMAIN@MYREALM -mapuser ldapMYHOST -pass mypassword -out MYHOST.keytab
このコマンドを実行すると、プリンシパル(ldap/MYHOST.MYDNSDOMAIN@MYREALM)がユーザアカウント(ldapMYHOST)にマップされ、ホストプリンシパルのパスワードがmypasswordに設定され、MYHOST.keytabファイルに鍵が抽出されます。