NAME¶

authselect-migration - authconfig から authselect への移行方法を示したガイド。

説明¶

この man ページでは、authconfig と authselect の主な違いについて説明します。authconfig は、システム認証およびアイデンティティーソースを設定するツールの旧バージョンで、authselect は新バージョンになります。authconfig から authselect への移行に必要なアクションについても説明します。

主な差異¶

authselect ツールは、システム設定に対して旧バージョンの authconfig とはまったく異なるアプローチをとります。

authconfig は、生成したファイルに対してユーザーが実施する手動での変更を維持するよう最善を尽くします。(認証モジュールとアイデンティティーソースのセットアップ用に) PAM 設定ファイルおよび nsswitch.conf を生成するだけでなく、LDAP および Kerberos などのいくつかのサービス用に簡単な設定ファイルも生成します。

authselect は、そのようなことはしません。PAM および nsswitch.conf 以外の設定ファイルは生成しません。また、生成された設定に対する手動での変更を固く禁止しています。プロファイルと呼ばれるファイルのセットを提供します。各プロファイルは、結果として得られる設定について説明し、特定のオプション機能を有効化または無効化することで若干変更することができます。authselect が出荷するプロファイルとは別のプロファイルへのニーズが生じた場合、管理者は、オプションでまったく新しいプロファイルを作成して authselect と共に使用することができます。プロファイルの詳細は、authselect-profiles(5) を参照してください。

これは大きな欠点と思えるかもしれませんが、実際はその反対です。authconfig は非常に古いツールで、必要なサービスを提供するアプリケーションは、ここ数年で急激に変化しました。一般に、PAM および nsswitch.conf では、複数の認証モジュールはもう必要ありません。なぜなら、ユースケースの大部分は SSSD でカバーされるからです。 したがって、それらを特に追加したり削除したりする必要がありません。「レルム」などのリモートドメインに参加するプロセスの自動化を支援できるシステムデーモンの設定を生成するより優れたツールもあります。さらに、出荷されたプロファイルのシステム設定は、完全にテストが可能で、大幅にエラーが起こりにくい包括的かつ決定論的なものとなっています。また、このような設定を多くのシステムに渡って配布することは、格段に簡単になります。

おそらく、最も問題視されている変更は、authselect がプロファイルを sssd プロバイダーと winbind プロバイダーのみに出荷する点です。これらの 2 つのプロバイダーは、ローカルユーザーとレガシー LDAP ドメインの提供から、IPA サーバーまたは Active Directory サーバーを使用した複雑な設定まで、現在のすべてのユースケースをカバーします。プロファイルは今後、nss-pam-ldapd をサポートしません。ユーザーには、sssd への乗り換えを推奨しています。

リモートドメインへの参加¶

IPA ドメインへの参加には、「ipa-client-install」または「レルム」のいずれかを使用でき、Active Directory ドメインへの参加には「レルム」を使用できます。これらのツールは、正しい authselect プロファイルが選択され、すべてのデーモンおよびサービスが正しく設定されていることを確認します。

スクリプトの変換¶

ドメインへの参加に「ipa-client-install」または「レルム」を使用する場合は、単にスクリプト内の authconfig コールを削除します。このオプションを利用できない場合は、必要な機能を持つ正しいプロファイルを選択するために、各 authconfig コールをこれと同等の authselect コールと置き換える必要があります。続いて、必要なサービスに設定ファイルを書き込む必要もあります。

Table 1. authselect プロファイルに対する authconfig オプションの関係

Table 2. authselect プロファイル機能に対する authconfig オプションの関係

例.

authconfig --enableldap --enableldapauth --enablefaillock --updateall
authselect select sssd with-faillock
authconfig --enablesssd --enablesssdauth --enablesmartcard --smartcardmodule=sssd --updateall
authselect select sssd with-smartcard
authconfig --enablepamaccess --updateall
authselect select sssd with-pamaccess
authconfig --enablewinbind --enablewinbindauth --winbindjoin=Administrator --updateall
realm join -U Administrator --client-software=winbind WINBINDDOMAIN

設定ファイル¶

本セクションには、様々なサービスの最小限の設定に関するスニペットが含まれています。

# Set the default base dn
BASE   dc=example,dc=com
# Set the default LDAP server
URI    ldap://ldap.example.com ldap://ldap-master.example.com:666

[libdefaults]


 default_realm = MYREALM
[realms]


 MYREALM = {


  kdc = kdc.myrealm.org


 }
[domain_realm]


 myrealm.org = MYREALM


 .myrealm.org = MYREALM

[sssd]
config_file_version = 2
domains = default
[domain/default]
id_provider = ldap
ldap_uri = _srv_
dns_discovery_domain = myrealm

[sssd]
config_file_version = 2
domains = default
[domain/default]
id_provider = ldap
auth_provider = krb5
ldap_uri = _srv_
krb5_server = _srv_
krb5_realm = MYREALM
dns_discovery_domain = myrealm

IPA または Active Directory ドメイン用に SSSD を設定したい場合は、「レルム」ツールを使用します。これにより、Kerberos keytab の作成および SSSD の基本設定の生成などの初期設定が実行されます。調整するには、{sysconfdir}/sssd/sssd.conf を変更します。

domain mydomain broadcast
# or
# domain mydomain server myserver

NISDOMAIN=mydomain

$ domainname mydomain
$ setsebool -P allow_ypbind 1

サービスの起動¶

設定によっては、 systemd を使用して必要なサービスを手動で開始する必要があります。

systemctl は sssd.service を有効にします ; systemctl は sssd.service を開始します

systemctl は winbind.service を有効にします ; systemctl は winbind.service を開始します

systemctl は rpcbind.service を有効にします ; systemctl は rpcbind.service を開始します
systemctl は ypbind.service を有効にします ; systemctl は ypbind.service を開始します

systemctl は oddjobd.service を有効にします ; systemctl は oddjobd.service を開始します

AUTHCONFIG ツール¶

authconfig は、cacertdir_rehash と呼ばれるツールを出荷しました。このツールに依存する場合は、同じ目的を持つ native openssl command: openssl rehash <directory> に切り替えてください。

以下も参照してください¶

authselect(8)、authselect-profiles(5)、realm(8)、ipa-client-install(1)、sssd.conf(5)、smb.conf(5)、ldap.conf(5)、krb5.conf(5)