3.3.9 Kerberos によるアクセス制御を有効にする |
 |
Kerberos を有効にするためには，サーバ・システムであらかじめ以下の手順を実行しておく必要があります。
- TCP/IP for OpenVMS ソフトウェアを，ドメイン名サーバを有効にしてインストールし構成します。
- 『Kerberos Client for OpenVMS Installation Guide and Release Notes』に従って， Kerberos Client for OpenVMS ソフトウェアをインストールして構成します。
- 以下の情報を準備します。
- KDC の場所
- プリンシパルを追加するために使用するノード，ドメイン，レルム情報
- プリンシパル名とパスワード
- SYS$MANAGER:DECW$PRIVATE_SERVER_SETUP 内で DECW$SERVER_TRANSPORTS パラメータを定義し，サーバを再起動して TCP/IP トランスポートを有効にします。
Kerberos によるアクセス制御は，IPv6 を使用する TCP/IP 環境ではサポートされていません。 Kerberos と IPv6 が有効になっていると，サーバに接続しようとしても，ネットワーク・アドレスが無効であることを示す KERBEROS エラーで失敗します。 Kerberos によるアクセス制御を使用するには， INET トランスポート名 ( 表 4-1 を参照) を指定します。これにより，IPv4 アドレスの使用が強制されます。
以降の項では，デスクトップ・セッションの外部と内部のサーバ接続に対して Kerberos によるアクセス制御を適用する方法を説明します。
デスクトップ・セッション外の接続の場合
DECwindows Motif セッション外の接続に対して Kerberos によるアクセス制御を適用するには，以下の手順を実行します。
- 次のようにして Kerberos Administration ユーティリティを起動します。
$ KERBEROS/INTERFACE=DECWINDOWS/ADMIN
|
- 以下のプリンシパル，keytab ファイル，keytab ファイル・エントリを作成します。 Kerberos Administration ユーティリティの使用方法については， Kerberos Client for OpenVMS のマニュアルを参照してください。
- プリンシパル x0/host@REALM を作成します。次に例を示します。
x0/system@ORG.COMPANY.COM
|
- keytab ファイル SYS$SYSROOT:[SYSMGR]DECW$X0.KEYTAB を作成します。
- keytab ファイル内にプリンシパル x0 用のエントリを作成します。
- DECW$PRIVATE_SERVER_SETUP.COM ファイルを変更し， X authority ファイル，アクセス許可ファイル，アクセス信頼ファイルが格納される場所を指すように以下のパラメータの値を定義します。以下に例を示します。
$ DECW$SERVER_XAUTHORITY == "SYS$MANAGER:SERVER_ZEPHYR.DECW$XAUTH"
$ DECW$SERVER_ACCESS_ALLOWED == "SYS$MANAGER:DECW$SERVER_ZEPHYR_ACCESS_ALLOWED.DAT"
$ DECW$SERVER_ACCESS_TRUSTED == "SYS$MANAGER:DECW$SERVER_ZEPHYR_ACCESS_TRUSTED.DAT"
|
- xauth ユーティリティを使用して，サーバ用の X authority ファイルを手動で作成し，適切なエントリを追加します。たとえば，下記のコマンドは，新しい X authority ファイル SERVER_ZEPHYR.DECW$XAUTH を作成し，ローカル・トランスポート用のエントリを追加して， Kerberos プロトコルを指定し，keytab ファイルを示す値を割り当てます。
$ XAUTH -f SYS$SYSROOT:[SYSMGR]SERVER_ZEPHER.DECW$XAUTH -
_$ ADD :0 MIT-KERBEROS-5 -
_$ """CS:X0,SYS$SYSROOT:[SYSMGR]DECW$X0.KEYTAB"""
|
- DECW$SERVER_ACCESS_TRUSTED パラメータで指定した場所にアクセス信頼ファイルを手動で作成し，次のように SYSTEM アカウント用のエントリを追加します。
- DECW$SERVER_ACCESS_ALLOWED パラメータで指定した場所にアクセス許可ファイルを手動で作成し，サーバへのアクセスを許可するそれぞれの Kerberos プリンシパルについてエントリを追加します。アクセス許可ファイル内の Kerberos プリンシパルに対する各エントリは，
protocol-principal@realm-accessrights の形式に従います。ここで，accessrights はNONE，ALL，または * です。
たとえば，アクセス許可ファイル内の次のエントリは，プリンシパル JONES に対して， TCP/IP トランスポート経由でのサーバ・アクセスを許可します。
KERBEROS jones@ORG.COMPANY.COM ALL
.
.
.
|
- ファイルを保存してサーバを再起動します。
デスクトップ・セッション内の接続の場合
DECwindows Motif セッション内のサーバ接続に対して Kerberos によるアクセス制御を適用するには，以下の手順を実行します。
- デスクトップに応じて以下のどちらかを実行します。
- Traditional Desktop の場合，セッション・マネージャの [オプション] メニューから [セキュリティ...] を選択します。
- New Desktop の場合，スタイル・マネージャの [J-Security] コントロールをクリックします。
「Security Options」ダイアログ・ボックスが表示されます。
- [Configure Principals] ボタンをクリックします。
- 追加する Kerberos プリンシパルに対する指定を，「Authorized Principals」リストに追加します。
一般的な Kerberos プリンシパルの形式は
primary/instance@REALM です。
- [Add] ボタンをクリックします。プリンシパルが「Authorized Principals」ボックスに追加されます。
- [了解] をクリックして変更を保存および適用し，「Configure Principals」ダイアログ・ボックスを閉じます。
- 「Server Access Control」領域で「Kerberos」を選択し， [了解] をクリックします。
「Kerberos Login」ダイアログ・ボックスが表示され，ログインして Kerberos 証明書を確認するように促されます。
- Kerberos プリンシパル名とパスワードを入力して [了解] をクリックします。プリンシパル名とパスワードでは大文字と小文字が区別される点に注意してください。
Kerberos を無効にするには，Kerberos オプションの選択を解除し，一覧からすべてのプリンシパルを削除して， [了解] または [適用] をクリックします。
1 つ以上のプリンシパルがセッションにアクセスできないようにするには，まず削除する名前をクリックし，次に [Remove] ボタンをクリックします。最後に，[了解] または [適用] をクリックします。そのプリンシパルはワークステーションにアクセスする許可がなくなります。
現在のチケットが信頼できなくなったと思われる場合は， [Revoke Ticket] ボタンを押すことで，セッションへのアクセスを拒否し，プリンシパルに対してログインおよび認証手順を繰り返すように強制することができます。
