18.6. Kerberos 5クライアントの設定

Kerberos 5クライアントの設定は、サーバーの設定に比べて少なくて済みます。 最小限、 クライアントパッケージをインストールして、 有効なkrb5.conf設定ファイルを各クライアントに供給してください。 Kerberos化したrshrlogin にも幾らかの設定変更が必要です。

  1. KerberosクライアントとKDC間で時間同期がなされていることを確認してください。 詳細は 項18.5を参照してください。 さらに、Kerberosクライアント プログラムを設定する前に、 Kerberosクライアント上でDNSが正しく動作しているか確証してください。

  2. 全てのクライアントマシンにkrb5-libskrb5-workstation パッケージをインストールしてください。 それぞれのクライアントには、1つの有効な /etc/krb5.conf ファイルを供給してください (通常これは、KDCで使用されるのと同じ krb5.confファイルです)。

  3. realm 内のワークステーションが Kerberos化したrshrloginを用いてユーザーに接続させる前に、 そのワークステーションに xinetdパッケージをインストールして、 Kerberos データベース内に自らのホストプリンシパルを作成する事が必要です。kshdklogind サーバープログラムも、サービスプリンシパル用の鍵にアクセスする必要があります。

    kadminを使って、KDC上にワークステーション用のホストプリンシパルを追加します。 この場合のインスタンスは、ワークステーションのホスト名です。 -randkey オプションをkadminaddprincコマンドに付けて使用すると、 プリンシパルが作成されランダム鍵が割り当てられます。

    addprinc -randkey host/blah.example.com

    これで、プリンシパルを作成できました。ワークステーション上でkadminを実行し、 kadminの中の ktaddコマンドを使って、 ワークステーション用の鍵を引き出せます。

    ktadd -k /etc/krb5.keytab host/blah.example.com
  4. 開始する必要があるその他のkerberos化されたネットワークサービスを使用する場合は、 以下に一般的な kerberos 化されたサービスの一覧、及びサービスを有効にする方法を示します。

    • rshrloginrshrloginのKerberos化したバージョンを使うには、kloginekloginkshell が有効でなければなりません。

    • Telnet — kerberos化したTelnetを使用するには、 krb5-telnetを有効にする必要があります。 .

    • FTP — FTP アクセスを用意するには、ftpの rootでプリンシパル用の鍵を作成し、引き出す必要があります。FTPサーバの完全修飾形の ホスト名への事例を設定して、それからgssftpを有効にします。

    • IMAP — imapパッケージに含まれているIMAPサーバーは、 適切な鍵を/etc/krb5.keytabで見つけた場合に、 Kerberos 5を利用して GSS-API 認証を使います。 プリンシパルのrootは imapである必要があります。

    • CVS — CVSのkerberos化したgserverは、cvsの rootでプリンシパルを使用し、 その他の面では CVS pserverと全く同じです。

    サービスを有効にする方法についての詳細は、 Red Hat Enterprise Linux システム管理ガイドサービスへのアクセスの管理 の章を参照してください。