PAMによる認証

SUSE Multi-Linux Managerは、SSSDを使用してプラガブル認証モジュール（PAM）を利用したネットワークベースの認証システムをサポートしています。 PAMは、SUSE Multi-Linux Managerを集中認証メカニズムと統合するためのライブラリのスイートであり、複数のパスワードを記憶する必要を排除します。SUSE Multi-Linux Managerは、LDAP、Kerberos、およびその他のネットワークベースの認証プロトコルをサポートしています。

1. SSSDの設定

プロシージャ:SSSDの設定

  1. SUSE Multi-Linux Manager Web UIで、ユーザー  ユーザーの作成に移動し、新しいまたは既存のユーザーがPAMで認証できるようにします。

    ユーザー名には、英数字に加えて、-, _, .`および@`が許可されています。

  2. チェックボックス`Pluggable Authentication Modules (PAM)`にチェックを入れてください。

  3. サーバコンテナ内でSSSDを設定します。 SUSE Multi-Linux Managerコンテナホストのコマンドプロンプトで、ルートとしてサーバコンテナに入ります：

    mgrctl term

  4. コンテナ内で次の手順を実行します。

    1. ご使用の設定に合わせて`/etc/sssd/sssd.conf`を編集してください。 例については、LDAPとActive Directoryの統合例を参照してください。

    2. 実行したら、コンテナを終了します。

      exit

  5. 次のコマンドを使用してSUSE Multi-Linux Managerを再起動します：

    mgradm restart

SUSE Multi-Linux Manager Web UIでのパスワードの変更は、SUSE Multi-Linux Managerサーバー上のローカルパスワードのみを変更します。 そのユーザーに対してPAMが有効になっている場合、ローカルパスワードはまったく使用されない可能性があります。 上記の例では、たとえばKerberosパスワードは変更されません。 これらのユーザーのパスワードを変更するには、ネットワークサービスのパスワード変更メカニズムを使用してください。

PAM設定に関する詳細情報は、SUSE Linux Enterprise Serverセキュリティガイドを参照してください。セキュリティガイドには、他のネットワークベースの認証方法にも適用できる一般的な例が含まれています。 また、Active Directory（AD）サービスの設定方法についても説明しています。 詳細については、https://documentation.suse.com/sles/15-SP7/html/SLES-all/part-auth.htmlを参照してください。

1.1. LDAPとActive Directoryの統合例

Active DirectoryとのLDAP統合については、次の例を使用できます。

コードスニペットで、環境に応じて次のプレースホルダを変更します。

$domain

ドメイン名

$ad_server

ADサーバーのFQDNは、$domain`$uyuni-hostname`から自動検出されない場合に指定してください: このADクライアントが認識されるべきマシンの名前。 設定されていない場合は、`uyuni-server.mgr.internal`になります。

`/etc/sssd/sssd.conf`のサンプルスニペット：

[sssd]
config_file_version = 2
services = nss, pam
domains = $domain

[nss]

[pam]

[domain/$domain]
id_provider = ad
chpass_provider = ad
access_provider = ad
auth_provider = ad

ad_domain = $domain
ad_server = $ad_server
ad_hostname = $uyuni-hostname

ad_gpo_map_network = +susemanager

krb5_keytab = FILE:/etc/rhn/krb5.conf.d/krb5.keytab
krb5_ccname_template = FILE:/tmp/krb5cc_%{uid}