リモート認証の構成

リモート認証により、外部認証サービスに保管された資格情報を使用するシステムに対してユーザーを認証することが可能になります。リモート認証を構成する場合、システム上でユーザーを構成したり、さらにパスワードを割り当てたりする必要はありません。代わりに、リモート・サービス上で定義された既存のパスワードおよびユーザー・グループを使用して、ユーザー管理とアクセスの単純化、パスワード・ポリシーの効率化、およびストレージ管理からのユーザー管理の分離を実現することができます。

リモート・ユーザーは、Lightweight Directory Access Protocol (LDAPv3) をサポートするリモート・サービスで認証されます。オプションの SSH 鍵を構成するために、リモート・ユーザーをシステム上のユーザーのリストに追加する必要はありません。リモート・サービスが起動していないときは、リモート・ユーザーはシステムにアクセスできません。その場合、リモート・サービスが復元されるまで、ローカル・ユーザー・アカウントを使用する必要があります。 リモート・ユーザーのグループは、リモート認証サービスによって定義されます。

管理 GUI を使用する場合

LDAP を使用したリモート認証を構成するには、以下の手順を実行してください。
  1. 管理 GUI で、「設定」 > 「セキュリティー」 > 「リモート認証」を選択します。
  2. 「リモート認証の構成」を選択します。
  3. 「LDAP」を選択します。
  4. 認証に使用する LDAP サーバーのタイプを選択します。
  5. 以下のいずれかのセキュリティー・オプションを選択します。
    StartTLS を使用した LDAP
    標準の LDAP ポート (389) を TLS または SSL を使用して暗号化されるポートにアップグレードする拡張機能を構成するには、このオプションを選択します。 ディレクトリー・サーバーへの初期接続は暗号化されませんが、ポート 636 が使用できないシステム上で使用できます。
    LDAPS
    デフォルトのセキュア・ポート (636) を使用して LDAP 通信を保護するには、このオプションを選択します。ディレクトリー・サーバーへのすべてのトランザクションで、接続が暗号化されます。
    セキュリティーなしの LDAP
    暗号化を行わずに平文形式でデータを転送するには、このオプションを選択します。
  6. オプションのサービス資格情報を指定するか、拡張 LDAP 設定を変更します。 次の LDAP 属性を構成することができます。
    ユーザー属性
    すべてのサーバー・タイプで、LDAP ユーザー属性で定義されたユーザー名を使用してユーザーが認証されます。 この属性は、ご使用の LDAP スキーマ内に存在し、各ユーザーごとに固有である必要があります。 Active Directory ユーザーは、そのユーザーのユーザー・プリンシパル名 (UPN) または NT ログイン名を使用して認証することもできます。
    グループ属性
    認証されたユーザーは、そのユーザーの LDAP グループ・メンバーシップに従って役割が割り当てられます。 ユーザーが属するグループは、LDAP グループ属性に保管されます。 この属性値は、各グループの識別名、あるいはユーザー・グループ名のコロン区切りリストです。
    監査ログ属性
    LDAP ユーザーが監査アクションを実行すると、監査ログ属性の内容が監査ログに記録されます。
  7. 認証に使用する最大 6 個の LDAP サーバーを定義します。複数のサーバーを構成することで、さまざまなユーザー・セットへのアクセスや冗長性を提供することができます。 どのサーバーがユーザーの認証に優先されるかを構成することもできます。
  8. ご使用の LDAP 構成を確認します。LDAP サーバーへの接続をテストするには、「グローバル・アクション」 > 「LDAP 接続のテスト」を選択します。LDAP サーバーへの認証をテストするには、「グローバル・アクション」 > 「LDAP 認証のテスト」を選択し、ユーザーの対応する資格情報を入力します。
  9. パスワードを使用しないアクセスが必要なリモート・ユーザーは、システム上にセキュア・シェル (SSH) 鍵を構成する必要があります。SSH 鍵アクセス用のリモート・ユーザーを構成するには、以下の手順を実行してください。
    1. 「アクセス」 > 「ユーザー」を選択します。
    2. 「新規ユーザー」を選択するか、「アクション」 > 「プロパティー」を選択して既存のユーザーを変更します。
    3. リモート認証モードを選択し、SSH 公開鍵を指定します。パスワードを入力しないコマンド・ライン・アクセスが必要な場合は、SSH 公開鍵を使用します。

    システムからユーザーを削除するには、以下の手順を実行してください。

    1. 「アクセス」 > 「ユーザー」を選択します。
    2. ユーザーを右クリックし、「アクション」 > 「削除」を選択します。

コマンド・ライン・インターフェースの使用

コマンド・ライン・インターフェースを使用して、LDAP でのユーザー認証を有効にするには、以下のステップを実行します。
  1. chldap コマンドを入力して LDAP を構成します。
    このコマンドは、IBM Security Directory Server と AD の両方のデフォルト設定値を提供します。例えば、IBM Security Directory Server スキーマのデフォルトとトランスポート層セキュリティー (TLS) を使用して認証を構成するには、次のコマンドを入力します。
    chldap -type itds -security tls
    LDAP 構成を検査するには、lsldap コマンドを使用します。
    注: TLS を使用して、送信されるパスワードが暗号化されるようにします。
  2. mkldapserver コマンドを指定して、認証に使用する最大 6 つの LDAP サーバーを定義します。
    さまざまなユーザー・セットへのアクセスを提供するため、または冗長性を確保するために、複数のサーバーを構成できます。すべてのサーバーが、chldap で構成された設定値を共有する必要があります。例えば、SSL 証明書と cn=users,dc=company,dc=com サブツリーのユーザーを使用して LDAP サーバーを構成するには、次のコマンドを入力します。 
    mkldapserver -ip 9.71.45.108 -basedn cn=users,dc=company,dc=com -sslcert /tmp/sslcert.pem

    また、ユーザーを認証するために優先的に使用されるサーバーを構成することもできます。

    LDAP サーバー構成情報を見るには、lsldapserver を指定します。構成済み LDAP サーバーを変更するには、chldapserver および rmldapserver を指定します。

  3. 認証サービスで使用されているユーザー・グループとの突き合わせを行って、システム上にユーザー・グループを構成します。

    認証サービスに認識されているそれぞれのインタレストのグループごとに、同じ名前および使用可能になっているリモート設定値を使用して、システムのユーザー・グループを作成する必要があります。 例えば、sysadmins というグループのメンバーにシステム管理者 (admin) の役割が必要な場合は、次のコマンドを入力します。

    mkusergrp -name sysadmins -remote -role Administrator

    いずれのユーザー・グループもシステム・ユーザー・グループと一致しない場合、ユーザーはシステムにアクセスできません。

  4. testldapserver コマンドを使用して、LDAP 構成を検査します。
    LDAP サーバーへの接続をテストするには、オプションを指定せずにコマンドを入力します。構成エラーがないかをテストするには、ユーザー名を指定する際にパスワードを指定しても指定しなくてもかまいません。各サーバーに対する完全な認証の試行を処理するには、以下のコマンドを入力します。
    testldapserver -username username -password 'password'
  5. LDAP 認証を有効にするには、次のコマンドを入力します。
    chauthservice -type ldap -enable yes
  6. セキュア・シェル (SSH) 鍵アクセスを必要としないユーザーを構成します。
    リモート認証サービスを使用する必要があり、SSH 鍵アクセスを必要としないシステム・ユーザーを削除します。
    要確認: スーパーユーザーは削除できず、また、リモート認証サービスを使用できません。
  7. SSH 鍵アクセスを必要とするユーザーを構成します。

    リモート認証サービスを使用し、SSH 鍵アクセスを必要とするすべてのシステム・ユーザーは、リモート設定値を使用可能にし、有効な SSH 鍵をシステムで構成する必要があります。

  8. LDAP サーバーとの通信時に使用するセキュリティーのタイプを指定します。

    TLS を使用可能にするには、tls を指定します。標準の LDAP ポート (389) を TLS を使用して暗号化されるポートにアップグレードする拡張機能を構成するには、このオプションを選択します。ディレクトリー・サーバーへの初期接続は暗号化されませんが、ポート 636 が使用できないシステム上で使用できます。

    SSL セキュリティーを有効にするには、ssl を指定します。このオプションは、デフォルトのセキュア・ポート (636) を使用して LDAP 通信を保護します。ディレクトリー・サーバーへのすべてのトランザクションで、接続が暗号化されます。 デフォルト値は none です。