クライアントの設定
ここでは、ルートドメイン内であるかどうかとは関係なく、一般的な NIS+ クライアントの構成方法を説明します。ここでの説明は、通常の NIS+ クライアント、および後で NIS+ サーバーとなるクライアントに当てはまります。また、標準の NIS+ ドメイン内、および NIS 互換ドメイン内のクライアントにも当てはまります。
注意 – またドメイン名とホスト名が同じにならないようにします。たとえば、sales ドメインがある場合は、ホスト名に sales を使用することはできません。同様に、home というホスト名がある場合には、ドメイン名に home を使用できません。これは、サブドメインについても同様です。たとえば、すでにホスト名として west がある場合には、sales.west.doc.com というサブドメインを作成することはできません。
NIS+ クライアントの設定には、次の作業が必要です。
-
クライアントの資格の作成
-
マシンの準備
-
マシンを NIS+ クライアントとして初期設定
ただし、ルートドメインの設定と同様、クライアントの設定も、これら 3 つの作業を順番に実行するような単純なものではありません。構成手続を実行しやすくするため、これらの作業を個々の手順に分割し、次に示すように、これらの手順をもっとも効率的な順に並べてあります。
-
ドメインのマスターサーバーにログインします。
-
新しいクライアントマシン用の DES 資格を作成します。
-
マスターサーバーで使用されている Diffie-Hellman キー長を確認します。
-
クライアントにスーパーユーザーとしてログインします。
-
クライアントに新しいドメイン名を設定します。
-
nscd の停止と再起動を行います。
-
クライアントの Diffie-Hellman キーを設定します。
-
NIS+ のファイルを削除し、プロセスを終了します。
-
クライアントを初期設定します。
-
/etc/.rootkey ファイルを削除し、keyserv デーモンを再起動します。
-
keylogin を実行します。
-
クライアントを再起動します。
クライアント構成時のセキュリティについて
クライアントの設定には、セキュリティ上の主な必要要件が 2 つあります。つまり、システム管理者とクライアントの両方が、適切な資格とアクセス権を持つことです。そうでない場合、クライアントがセキュリティレベル 2 で実行しているドメインの資格を入手する唯一の方法は、クライアントのホームドメイン内での有効な DES 資格と cred テーブルに対する変更権とを持つシステム管理者が資格を作成することです。システム管理者は DES 資格を、クライアントのホームドメイン内、または自分のホームドメイン内に所持できます。
システム管理者がクライアントの資格を作成すると、そのクライアントは構成プロセスを終了できます。しかしクライアントは、ホームドメインのディレクトリオブジェクトに対する読み取り権を必要とします。第 5 章「ルートドメインの設定」または第 8 章「ルート以外のドメインの構成」の手順に従ってクライアントのホームドメインを構成した場合、ディレクトリオブジェクトの作成に使用した NIS+ コマンド (nisinit と nismkdir) によって、読み取り権がその他のクラスに提供されています。
ディレクトリオブジェクトのアクセス権をチェックするには、niscat-o コマンドを使用します。このコマンドは、アクセス権などのディレクトリ属性を表示します。次にその例を示します。
rootmaster# niscat -o doc.com. ObjectName : Doc Owner : rootmaster.doc.com. Group : admin.doc.com. Domain : Com. Access Rights : r---rmcdr---r--- |
ディレクトリオブジェクトのアクセス権は、オブジェクトに対する変更権を持っている場合は、nischmod コマンドを使用して変更できます。詳細については、第 15 章「NIS+ のアクセス権の管理」を参照してください。
クライアントの資格を構成するための前提条件
クライアントの資格を設定するシステム管理者は、次の条件をすべて満たしている必要があります。
-
有効な DES 資格を持っていること
-
クライアントのホームドメインにある cred テーブルを修正する権利を持っていること
クライアントは次の条件をすべて満たしている必要があります。
-
ホームドメインのディレクトリオブジェクトに対する読み取り権を持っていること
-
クライアントのホームドメインがあらかじめ構成されており、NIS+ を実行していること
-
マスターサーバーの /etc/hosts ファイル、または /etc/inet/ipnodes ファイル、あるいはドメインの hosts テーブルまたは ipnodes テーブルの中にエントリが存在すること
-
マシン名が、どのユーザーの ID とも重複しておらず、固有であること
-
マシン名にドットが含まれていないこと。たとえば、sales.alpha というマシン名は使用できませが、sales-alpha なら使用できます。
必要な情報
-
クライアントのホームドメイン名
-
クライアントとなるマシンのスーパーユーザーのパスワード
-
クライアントのホームドメイン内にある NIS+ サーバーの IP アドレス
クライアントの設定 — 作業マップ
注 –
NIS+ サービスは、サービス管理機能 (SMF) によって管理されます。このサービスに対する有効化、無効化、再起動などの管理操作を実行するには、svcadm コマンドを使用します。SMF を NIS+ で使用する方法については、「NIS+ とサービス管理機能」を参照してください。SMF の概要については、『Solaris のシステム管理 (基本編)』の「サービスの管理 (概要)」を参照してください。詳細については、svcadm(1M) と svcs(1) の各マニュアルページも参照してください。
表 6–1 クライアントの設定
|
作業 |
目的 |
参照先 |
|
|---|---|---|---|
|
クライアントの設定 |
クライアントの資格を作成する。クライアントマシンを準備して、NIS+ クライアントとして初期設定する | ||
NIS+ クライアントを設定する方法
-
ドメインのマスターサーバーにログインする
スーパーユーザーとして、または自分自身のユーザー名でログインします。どちらでログインするかは、どちらの NIS+ 主体がドメインの cred テーブルに資格を追加するための適切なアクセス権を所有しているのかに依存します。
-
新しいクライアントマシン用の DES 資格を作成します。
nisaddcred コマンドを引数 -p と -P を付けて実行します。構文は、次のとおりです。
nisaddcred -p secure-RPC-netname principal-name des [domain]
secure-RPC-netname は、接頭辞 unix に、クライアントのホスト名、@ 記号、およびクライアントのドメイン名を付けて構成しますが、最後にドットは付けません。principal-name は、クライアントのホスト名とドメイン名によって構成され、最後にドットを付けます。このクライアントの所属するドメインが、コマンドを入力したサーバーとは異なる場合、2 番目の引数の後にクライアントのドメイン名を追加します。
この例では、doc.com. ドメイン内の client1 という名前のクライアントマシンに対する DES 資格を追加します。
rootmaster% nisaddcred -p unix.client1@doc.com -P client1.doc.com. des Adding key pair for unix.client1@doc.com (client1.doc.com.). Enter client1.doc.com.'s root login passwd: Retype password:
nisaddcred コマンドの詳細については、第 12 章「NIS+ 資格の管理」を参照してください。
-
マスターサーバーで使用される Diffie-Hellman キー長を確認します。
たとえば、以下のようになります。
rootmaster% nisauthconf dh640-0 des
-
クライアントにスーパーユーザーとしてログインします。
これでクライアントマシンに資格ができたため、ユーザーはマスターサーバーからログアウトし、クライアント自体から作業を開始できます。この作業はローカルでもリモートでも可能です。
-
クライアントに新しいドメイン名を設定します。
クライアントのドメイン名を設定する (変更する) 方法については、「マシンのドメイン名を変更する」を参照し、次の手順 6 に戻ります。
-
クライアントの nsswitch.conf ファイルをチェックします。
クライアントが NIS+ バージョンの nsswitch.conf ファイルを使用していることを確認します。これによって、クライアント情報の 1 次ソースが NIS+ テーブルということが確認できます。NIS+ スイッチファイルの詳細については、例 1–1 を参照してください。
-
nsswitch.conf ファイルに少しでも変更を加えた場合 (または新規にファイルにコピーした場合)、ここで nscd を再起動する必要があります。
client1# svcadm restart /system/name-service-cache
キーサーバーをこの時点で停止および再起動する必要はありません。手順 12 で行います。
-
手順 3 の情報を使用して、Diffie-Hellman キー長を設定します。
たとえば、次のようにします。
client# nisauthconf dh640-0 des
-
NIS+ サービスを停止します。
client1# svcadm disable network/rpc/nisplus:default client1# svcs \*nisplus\* disabled Jan_12 svc:/network/rpc/nisplus:default
-
NIS+ のファイルを削除しプロセスを終了します。
現在作業しているマシンが、以前は NIS+ のサーバーまたはクライアントとして使用したものである場合、/var/nis 内にファイルがあればすべて削除します。この例では、/var/nis 内にコールドスタートファイルとディレクトリキャッシュファイルがまだ存在します。
client1# ls /var/nis NIS_COLD_START NIS_SHARED_CACHE client1# rm -rf /var/nis/*
/var/nis 内に残されたファイル、またはキャッシュマネージャによって保存されたディレクトリオブジェクトは、この手順によって完全に消去されます。したがって、この構成プロセスで生成された新しい情報と重複することはありません。/var/nis 内に管理スクリプトを 1 つでも格納していた場合、ルートドメインの設定が終わるまでは、それらを一時的にほかのどこかに格納しておくことをお勧めします。
-
クライアントを初期設定するには、次の 3 つの方法があります。ホスト名、コールドスタートファイル、ブロードキャストによる方法です。3 つの方法のうち、いずれかを選択して実行します。クライアントの初期設定が終了したら、手順 12 に進みます。
-
/etc/.rootkey ファイルを削除し、keyserv デーモンを再起動します。
client1# cp /etc/nsswitch.nisplus /etc/nsswitch.conf client1# svcs \*keyserv\* online Jan_12 svc:/network/rpc/keyserv:default client1# svcadm disable network/rpc/keyserv client1# rm -f /etc/.rootkey client1# svcadm enable network/rpc/keyserv
DNS 転送の設定
NIS+ クライアントの DNS 転送機能を有効にするには
該当するサーバー上に /etc/resolve.conf ファイルが存在する場合、この NIS 実装では DNS へ要求を転送するために、ypstart によって ypserv デーモンが -d オプション付きで「自動的に」起動されます。
- © 2010, Oracle Corporation and/or its affiliates