FIPS 140 モードで実行するように Kerberos を構成する方法

始める前に

Kerberos を FIPS 140 モードで実行するには、システムの FIPS 140 モードを有効にする必要があります。Oracle Solaris 11.2 での暗号化と証明書の管理 のFIPS 140 が有効になったブート環境の作成 を参照してください。

1. KDC の暗号化タイプを編集します。

   kdc.conf ファイルの [realms] セクションで、KDC データベースのマスター鍵のタイプを設定します。

   # pfedit  /etc/krb5/kdc.conf    
   ...
   master_key_type = des3-cbc-sha1-kd

2. 同じファイルで、ほかの暗号化タイプを明示的に禁止します。

   コマンドを実行して暗号化を設定することもできるため、構成ファイルでコマンドへの非 FIPS 140 アルゴリズム引数の使用を禁止するようにしてください。

           supported_enctypes = des3-cbc-sha1-kd:normal

3. krb5.conf ファイルの [libdefaults] セクションで、トランザクション用の暗号化タイプを編集します。

   これらのパラメータによって、Kerberos サーバー、サービス、およびクライアント用の暗号化タイプが制限されます。

   # pfedit /etc/krb5/krb5.conf
           default_tgs_enctypes = des3-cbc-sha1-kd
           default_tkt_enctypes = des3-cbc-sha1-kd
           permitted_enctypes = des3-cbc-sha1-kd

4. 同じファイルで、弱い暗号化タイプを明示的に禁止します。

           allow_weak_enctypes = false

トラブルシューティング

Kerberos 暗号化タイプを参照してください。