Directoryの認証は主としてKerberosによって行われています。DC(ドメインコントローラ)は,Kerberos的にはKDCとして機能しています。今回紹介するpam_krb5は,Linuxサーバの認証を外部のKDCにより簡易に行えるようにするPAMモジュールです。KDCとしてADのDCを指定することで,Linuxサーバの認証をADに統合することができます。2016が稼働するDCが存在する,addom11.ad.localというADドメインでLinuxサーバの認証を行う場合を例に,設定例を示します。16.04LTSを使っています。pam_krb5のインストールと基本的な設定はじめに,インストールととりあえず動作させるまでの設定を紹介しましょう。各ディストリビューションで必要なパッケージの名称を表1に示します。これらのパッケージをインストールしてください。libpam-krb5パッケージのインストールが完了したら,引き続き設定を行います。7.3では,次のようにauthconfigを実行することで,必要なファイルが適切に変更されます。--updatekrb5realmに続くレルム名としては,ADドメインのFQDNを必ず大文字で指定します。ここではKDCをIPアドレスで指定しましたが,名前解決が可能な環境では名前で指定しても構いません。このコマンドにより/etc/krb5.confがリスト1のように設定されます。ADDOM11.AD.LOCAL加えて,PAMの設定ファイルである/etc/pam.d/system-authにも,リスト2のような設定が追加されます。←追加Ubuntuの場合は,/etc/krb5.confに手作業でリスト1相当の設定を行います。16.04LTSで筆者が確認した限り,PAMについてはリスト2相当の設定が行われていましたが,それ以外のUbuntu/Debian系ディストリビューションを使っている場合は,/etc/pam.confや/etc/pam.d配下を確認して設定が行われているかを確認してください。これに加えて,RHEL系,Ubuntu/Debian系ともに,Kerberos認証を行う上でDCとLinuxサーバ間で時刻が同期されていることが必要です。DCはデフォルトでNTPサーバとしても機能していますので,必要に応じてLinuxサーバ側でNTPクライアントの設定を行うなどして,DCとの時刻同期の設定を行ってください。認証連携の動作確認ここまでの設定を行ったら,実際にLinuxサーバにログインできることを確認してみましょう。pam_krb5で実現されるのは認証連携のみですので,連携対象のユーザはあらかじめLinuxサーバ上で作成しておく必要があります。aduser01のようにして作成してください。Linuxサーバ上でパスワードを設定する必要はありません。ついで,AD上で同じ名前のユーザを作成します。こちらはパスワードを適宜設定してください。設定が完了したら,sshなどを用いてLinuxサーバにaduser01として接続し,パスワードとしてAD上で設定したものを入力してください。構成されていれば,ふつうにログインできるはずです。引き続きパスワード変更も確認してみましょう。各所の設定を適切に行っていれば,次のように,あっけなくパスワードの変更ができるはずです。Directory側の設定がデフォルトのままの場合,テストユーザなどで動作を確認しようとすると,おそらくは次のようなメッセージが表示されてパスワード変更が失敗するはずです。Directoryではセキュリティの観点で,一度パスワードを変更したユーザは1日間パスワードの変更ができない仕様になっているため,検証などで短時間に何度もパスワードを変更することができません。ポリシー」の設定で,「⁠パスワードの変更禁止期間」を1日から0日に変更することで回避することはできますが,実運用でこの設定を有効にしている場合は,メッセージから原因がわかりにくいという点を認識しておく必要があります。ポリシー」についてはADドメイン全体の設定となりますので注意してください。まとめ今回は,ひとまず動作させることを優先して,細かい設定の説明は省いてきました。次回は細かい動作や設定について紹介していきます。もとのぶ)大学卒業後,株式会社NTTデータに入社。数年間UNIX上でのプログラム開発に携わった後,クライアント/サーバシステム全般に関する技術支援業務を行う部署に異動し現在に至る。「日本Sambaユーザ会」スタッフなどを務め,オープンソース,Microsoft双方のコミュニティ活動に関わるとともに,各種雑誌への記事執筆や,講演などの活動を行っている。2005年6月には「Sambaのすべて」を出版。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。