実装ガイド › UNAB ホストのインストールとカスタマイズ › はじめに › Kerberos と SSO の考慮事項

Kerberos と SSO の考慮事項

Kerberos が有効なエンドポイントに UNAB をインストールして登録すると、Kerberos シングル サインオン（SSO）サービスを活用でき、これにより認証が可能となり、同じユーザ クレデンシャルで複数のエンドポイントへログインできます。 設定されていない場合は、Kerberized ネットワーク サービスおよびアプリケーションのインストールと設定により、エンドポイント上の SSO 機能を有効にします。

設定はシステムにより異なるので、エンドポイント上で Kerberos と SSO を有効にする前に、以下の手順を実行するように強くお勧めします。

• 特に以下に関して、システム マネージャ ページおよび SSO で使用する予定のネイティブ アプリケーション サービス バイナリのリリース特定のオプションを読んでください。
  • sshd(1M)
  • telnetd
  • in.telnetd
  • inetd
  • pam.conf
  • inetd.sec
• Kerberos をサポートするバージョンのネットワーク アプリケーションの PATH 変数を確認します。 たとえば、ほとんどの Linux システムでは、Kerberos ツールは /usr/Kerberos ディレクトリの下に位置します。
• 以降の Kerberos をサポートするアプリケーションが以下のように設定されていることを確認します。
  • SSH -- クレデンシャル委任をサポートします。たとえば、GSSAPIDelegateCredentials トークンを yes に設定します。
  • SSHD -- GSSAPIAuthentication トークンをサポートし有効にします。
  • Telnet -- Solaris では、PAM スタックが設定され、Kerberos 設定および keytab ファイルが利用可能になっています。 シンボリック リンクまたは環境変数 KRB5_CONFIG および KRB5_KTNAME を作成して、keytab ファイルを利用可能にします
  • rlogin -- Kerberos をサポートするバージョンのアプリケーションをインストールします。

注： さらにシステム特定の Kerberos と SSO の設定については、システム ドキュメントを参照します。

例： Solaris 上での Kerberos の設定

以下の例は Solaris 上で Kerberos を設定するのに必要な設定を示しています。 この例では、Solaris パッケージをインストールして設定し、Kerberos を有効にします。

重要： 使用しているシステムを Kerberos 用に設定するためには、追加のパッケージをインストールして設定する必要がある場合があります。

• SUNWcry パッケージをインストールして、強力な暗号化を有効にします
• Solaris 10 では、GSSAPIDelegateCredentials が SSH でサポートされていません。
• svc:/network/shell:kshell、svc:/network/login:klogin、svc:/network/telnet:default を有効にして、rsh、rlogin、および telnet のサービスを使用します。
• Kerberos 認証を処理するように、/etc/pam.conf ファイルを変更します。

以下は /etc/pam.conf ファイルからの断片で、rlogin、rsh および telnet 用に Kerberos 認証を有効にする追加されたセクションを示しています。

# Kerberized rlogin サービス
#
krlogin	auth required		pam_unix_cred.so.1
krlogin	auth required		pam_krb5.so.1
#
# rsh service (explicit because of pam_rhost_auth, 
# and pam_unix_auth for meaningful pam_setcred) 
#
rsh	auth sufficient		pam_rhosts_auth.so.1
rsh	auth required		pam_unix_cred.so.1
#
# Kerberized rsh service
#
krsh	auth required		pam_unix_cred.so.1
krsh	auth required		pam_krb5.so.1
#
# Kerberized telnet service
#
ktelnet	auth required		pam_unix_cred.so.1
ktelnet	auth required		pam_krb5.so.1