階層関係のレルム間認証を設定する方法

言語:

この手順の例では、CORP.EAST.EXAMPLE.COM と EAST.EXAMPLE.COM の間に双方向のレルム間認証を確立します。この手順では、両方のレルム内のマスター KDC 上で実行する必要があります。

始める前に

各レルムのマスター KDC が構成されています。認証プロセスを十分にテストするには、複数のクライアントが必要です。

両方の KDC サーバー上で root 役割になる必要があります。詳細は、Oracle Solaris 11.3 でのユーザーとプロセスのセキュリティー保護 の割り当てられている管理権利の使用を参照してください。

2 つのレルムに対して、TGT のサービス主体を作成します。

マスター KDC を構成したときに作成した admin 主体名を使用して、ログインする必要があります。

# /usr/sbin/kadmin -p kws/admin
Enter password: xxxxxxxx
kadmin: addprinc krbtgt/CORP.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM
Enter password for principal krbtgt/CORP.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM:/** Type strong password **/
kadmin: addprinc krbtgt/EAST.EXAMPLE.COM@CORP.EAST.EXAMPLE.COM
Enter password for principal krbtgt/EAST.EXAMPLE.COM@CORP.EAST.EXAMPLE.COM:/** Type strong password **/
kadmin: quit

注 - これらのパスワードを安全な場所に保存および保管してください。

Kerberos 構成ファイルにエントリを追加して、すべてのレルムのドメイン名を定義します。
```
# pfedit /etc/krb5/krb5.conf
[libdefaults]
.
.
[domain_realm]
.corp.east.example.com = CORP.EAST.EXAMPLE.COM
.east.example.com = EAST.EXAMPLE.COM
```
この例では、CORP.EAST.EXAMPLE.COM および EAST.EXAMPLE.COM レルムのドメイン名が定義されます。このファイルは上から下に検索されるため、サブドメインはファイル内でドメイン名の前にある必要があります。
Kerberos 構成ファイルをこのレルムのすべてのクライアントにコピーします。
レルム間認証が機能するには、すべてのシステム (スレーブ KDC やその他のサーバーを含む) が /etc/krb5/krb5.conf のマスター KDC のバージョンを使用する必要があります。
2 番目のレルムでこの手順を繰り返します。
注 - 各サービス主体のパスワードは、2 つの KDC で同一である必要があります。そのため、サービス主体 krbtgt/CORP.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM のパスワードは両方のレルムで同じである必要があります。