27.2 識別情報アプリケーションサーバの設定

Active Directoryで作成したKerberos keytabファイルとユーザアカウントを使用するように、識別情報アプリケーションサーバを設定する必要があります。次に進む前に、セクション 27.1, Active DirectoryでのKerberosユーザアカウントの設定の手順を完了していることを確認します。

メモ:ドメインまたはレルムの参照については、大文字形式を使用してください。たとえば、@MYCOMPANY.COMです。

Kerberos設定のオペレーティングシステム設定を定義するには、次の手順を実行します。

Identity Applicationsをホストするサーバ上のテキストエディタで、C:\Windows\krb5.iniからkrb5ファイルを開きます。

次の情報をkrb5ファイルに追加します。

[libdefaults]
    default_realm = WINDOWS-DOMAIN
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    WINDOWS-DOMAIN = {
         kdc = FQDN Active Directory Server
         admin_server = FQDN Active  Directory Server
    }
[domain_realm]
    .your.domain = WINDOWS-DOMAIN
    your.domain = WINDOWS-DOMAIN

次に例を示します。

[libdefaults]
    default_realm = MYCOMPANY.COM
    kdc_timesync = 0
    forwardable = true
    proxiable = false
[realms]
    MYCOMPANY.COM = {
         kdc = myadserver.mycompany.com
         admin_server = myadserver.mycompany.com
    }
[domain_realm]
    .mycompany.com = MYCOMPANY.COM
    mycompany.com = MYCOMPANY.COM

変更を保存してkrb5ファイルを閉じます。

(状況によって実行) Tomcat用のKerberos設定情報を定義するには、次の手順を実行します。
1. Tomcatアプリケーションサーバで、次のコンテンツのサンプルファイルKerberos_login.configを作成します。
  
  メモ:novluaユーザは、Kerberos_login.configファイルを作成するための許可が必要です。
```
com.sun.security.jgss.krb5.accept {
		    com.sun.security.auth.module.Krb5LoginModule required
    debug="true"
		    refreshKrb5Config="true"
    useTicketCache="true"       ticketCache="c:\NetIQ\idm\apps\tomcat\kerberos\spnegoTicket.cache"
    doNotPrompt="true"
        principal="HTTP/DNS_Identity_Applications_server@WINDOWS-DOMAIN
"
    useKeyTab="true"
        keyTab="/absolute_path/filename.keytab"
    storeKey="true";
    };
```
  Windowsサーバの例は次のとおりです。
```
keyTab="c:\\NetIQ\\idm\\apps\\tomcat\kerberos\\rbpm.keytab"
```
2. このファイルで、principalおよびkeyTabの値を指定します。次に例を示します。
```
principal="HTTP/rbpm.mycompany.com@MYCOMPANY.COM"
keyTab="/home/usr/rbpm.keytab"
```
  - principalの値は、Kerberosに指定した値と一致している必要があります。詳細については、ステップ 3を参照してください。
  - 識別情報アプリケーションサーバ上のkeytabファイルの絶対パスを指定します。このファイルは識別情報アプリケーションのデフォルトディレクトリに存在している必要があります。
3. JVM java.securityファイルに次の行を記述して、Kerberos_login.configファイルを参照します。
```
login.config.url.1=file:c:\NetIQ\idm\apps\tomcat\kerberos\Kerberos_login.config
```
RBPM設定ユーティリティの認証方法を指定するには、次の手順を完了してください。
1. Configupdateユーティリティを開きます。
2. 認証タブをクリックします。
3. 認証方法セクションが表示されるまで下方にスクロールします。
4. 方法フィールドでは、Kerberosを選択します。
5. マッピング属性名フィールドでは、「cn」を指定します。
メモ:RBPM設定ユーティリティの詳細については、セクション 15.8, 識別情報アプリケーションの設定の管理を参照してください。
(オプション)別のサーバにレポーティングコンポーネントをインストールした場合は、Identity Reportingのこれらの手順を繰り返します。
エンドユーザが識別情報アプリケーションにアクセスするために使用するブラウザを設定します。詳細については、セクション 27.3, 統合Windows認証を使用するためのエンドユーザのブラウザの設定を参照してください。