E.3 GSSAPIを設定するための前提条件

GSSAPIを設定するには、まず次の作業を行う必要があります。

  • SASL-GSSAPIメソッド: SASL-GSSAPIメソッドをインストールします。Modular Authentication Services (「 NMASの機能」)の「ログインメソッドのインストール」セクションを参照してください。

    メモ:OpenText eDirectory SASL-GSSAPIメソッドは、Domain Services for WindowsがインストールされたOpen Enterprise Server (OES)バージョン2または11のインストール環境には機能しません。

    SASL-GSSAPIがコンピュータにインストールされているかどうかを確認するには、次のように入力します。

    ldapsearch -x -h osg-dt-srv9 -b " " -s base | grep -i sasl

    SASL-GSSAPIがインストールされている場合、コマンドの出力は次のようになります。

    supportedSASLMechanisms: NMAS_LOGIN
    supportedSASLMechanisms: GSSAPI

  • キー配布センター(KDC: Key Distribution Center): Kerberos KDC(MITまたはActive Directory)をネットワーク上にインストールします。

    Microsoft KDC (Active Directory)を使用する場合は、Kerberosツールをインストールしておく必要があります。これらのツールはWindowsインストールの一部であり、WindowsインストールCD上の\support\tools\setup.exe(Windows XP)または\support\tools\suptools.msi(Windows 2003)からインストールできます。

  • 時刻同期: このメソッドを機能させるために、NMASクライアントマシン、NMASサーバマシン、およびKDCマシンの時刻を同期します。ネットワーク時刻の同期の詳細については、ネットワーク時刻の同期を参照してください。

  • Kerberos LDAP拡張 Kerberos LDAP拡張を追加します。詳細については、KerberosのLDAP拡張の追加を参照してください。

    重要:

    • Open Enterprise Server (OES)で、Domain Services for WindowsまたはDNSサービスが設定されているサーバ上にKerberos LDAP拡張を追加しないでください。

    • Kerberosの管理で収集されるKerberos情報では、大文字と小文字が区別されるため、大文字と小文字を正確に指定する必要があります。

E.3.1 ネットワークの特性に関する前提

SASL-GSSAPIメカニズムは次の前提に基いて動作します。

  • ネットワーク上のすべてのコンピュータの時刻がある程度正確に同期されている。言い換えると、システム時刻が5分以上異なる2台のコンピュータがネットワーク上に存在しない。

  • MAN環境やWAN環境では時刻同期に関するこのような要件を満たすことが難しいため、SASL-GSSAPIメカニズムは主にLANでの使用を想定している。ただし、このメカニズムはLANのみに限定されていない。

  • KerberosサーバとKerberos管理者を検証なしで無条件に信頼する。

  • DoS(Denial-of-Service)攻撃に対抗する手段にはならない。詳細については、RFC 1510を参照してください。

E.3.2 KerberosのLDAP拡張の追加

KerberosのLDAP拡張では、Kerberosキーの管理機能が提供されています。

KerberosのLDAP拡張を使用するには、C言語用のLDAPライブラリをインストールする必要があります。詳細については、「LDAP Libraries for C」を参照してください。

KerberosのLDAP拡張を追加または削除するには、krbLdapConfigユーティリティを使用します。スタンドアロンのOpenText eDirectoryパッケージがディレクトリに抽出された場合、このファイルのパスはextracted_folder/nmas/NmasMethods/Novell/GSSAPI/Kerberos_ldap_extensions/Linux/krbLdapConfigです。

例: /misc/eDir88/Linux/nmas/NmasMethods/Novell/GSSAPI/Kerberos_ldap_extensions/Linux/krbLdapConfig

Kerberos LDAP拡張を追加するには、次の構文を使用します。

krbldapconfig {-i | -u} -D bind_DN [-w bind_DN_password] [-H ldap://[ldap host ip]:[ldap-port] [-e trusted_root_cert]

krbldapconfigユーティリティのパラメータについて、次の表で説明します。

パラメータ

説明

-i

Kerberos LDAP拡張をOpenText eDirectoryに追加します。

-u

Kerberos LDAP拡張をOpenText eDirectoryから削除します。

-D bind_fdn

管理者または管理者と同等の権利を持つユーザのFDNを指定します。

この指定は、cn=admin,o=orgの形式で指定する必要があります。

-w bind_fdn_password

バインドFDN(bind_fdn)のパスワードを指定します。

-h ldap_server

Kerberos LDAP拡張をインストールする必要があるLDAPサーバのホスト名またはIPアドレスを指定します。

-p port

LDAPサーバが動作しているポートを指定します。

-e trusted_root_file

SSLバインド用のルート認証局証明書のファイル名を指定します。

SSLポートを使用する場合は、-eオプションを指定してください。

詳細については、ルート認証局証明書のエクスポートを参照してください。

メモ:-hオプションを指定しなかった場合は、krbldapconfigの起動元のローカルホストの名前がデフォルトとして使用されます。

LDAPサーバポートとルート認証局証明書を指定しなかった場合は、ポート389がデフォルトで使用されます。

LDAPサーバポートを指定せずにルート認証局証明書を指定した場合は、ポート636がデフォルトで使用されます。

この拡張を追加するには次のように入力します。

krbldapconfig -i -D cn=admin,o=org -w password -h ldapserver -p 389

削除するには次のように入力します。

krbldapconfig -u -D cn=admin,o=org -w password -h ldapserver -p 389

重要:インストールによる変更を有効にするには、LDAPサーバを手動でリフレッシュする必要があります。詳細については、LDAPサーバをリフレッシュするを参照してください。

E.3.3 ルート認証局証明書のエクスポート

  1. OpenText Identity Consoleのホームページで、［証明書管理］タイル>［ルート認証局管理］の順にクリックして、［オブジェクトの変更］ページを開きます。

  2. ［ルート認証局］タブをクリックし、［ルート認証局証明書(Trusted Root Certificate)］を選択して、証明書の詳細を表示します。

  3. エクスポート をクリックします。

  4. 秘密鍵をエクスポートするかどうかを指定します。秘密鍵をエクスポートする場合、秘密鍵を保護するためのパスワードを指定する必要があります。

  5. ［OK］をクリックします。

  6. ［Save the exported certificate］をクリックします。

  7. ［Save File (ファイルの保存)］をクリックします。

  8. 閉じるをクリックします。