Kerberos認証の設定

マウント・ターゲットのKerberos認証の有効化

• コンソール
• CLI
• API

• 1. ナビゲーション・メニューを開き、「ストレージ」をクリックします。「ファイル・ストレージ」で、「マウント・ターゲット」をクリックします
  2. 「リスト・スコープ」セクションで、「コンパートメント」を選択します。
  3. 目的のマウント・ターゲットを検索し、「アクション」メニュー()をクリックして、「詳細の表示」をクリックします。
  4. 「NFS」タブをクリックして、マウント・ターゲットの既存のNFS設定を表示または編集します。
  5. 「Kerberos」の横にある「管理」をクリックします。

  6. 「Kerberosの管理」ウィンドウで、次の詳細を指定します:

     • Kerberosレルム: このマウント・ターゲットが結合するKerberosレルムを入力します。
     • 「Keytab情報」セクションで、次の詳細を入力します。
       • 使用するkeytabシークレットが格納されたVaultを選択します。
       • 「Keytab Secret」を選択します。
       • 「現在のkeytab Secretのバージョン」および「Backup keytab Secretのバージョン」を選択します。
       注意
       
       ボールトおよびキーは必ずバックアップしてください。そうしないと、ボールトとキーの削除によって、そのキーが暗号化に使用されたリソースまたはデータを復号化できなくなります。詳細は、ボールトおよびキーのバックアップとリストアを参照してください。

  7. Kerberosがkeytabの内容を検査できるようにする前に、「keytabの検証」をクリックします。

     注意
     
     正しく構成されていないキータブによって、NFSクライアントがファイルシステムへのアクセスを失う可能性があります。
  8. Kerberosの有効化: Kerberosを使用するには、このオプションを有効にします。詳細は、Kerberos認証の使用を参照してください。
  9. 「保存」をクリックします。

• oci fs mount-target createコマンドを --kerberos、--idmap-type、および --LDAP-idmapオプションとともに使用して、マウントターゲットを作成し、KerberosおよびLDAPの詳細を指定します。

  oci fs mount-target create --availability-domain <availability_domain> --compartment-id <compartment_id> --subnet-id <subnet_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  oci fs mount-target updateコマンドを--kerberos、--idmap-typeおよび--LDAP-idmapオプションとともに使用して、KerberosおよびLDAPの詳細で既存のマウント・ターゲットを更新します。

  oci fs mount-target update --mount-target-id <mount_target_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  次にkrb.jsonファイルの例を示します。

  {
    "currentKeyTabSecretVersion": 1,
    "isKerberosEnabled": true,
    "kerberosRealm": "EXAMPLE.COM",
    "keyTabSecretId": "ocid1.vaultsecret.oc1.eu-frankfurt-1.exampleuniqueID"
  }

  次にldap.jsonファイルの例を示します。

  {
    "cacheLifetimeSeconds": 300,
    "cacheRefreshIntervalSeconds": 300,
    "groupSearchBase": "cn=accounts,dc=example,dc=com",
    "negativeCacheLifetimeSeconds": 300,
    "outboundConnector1Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "outboundConnector2Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "userSearchBase": "cn=accounts,dc=example,dc=com",
    "schemaType": "RFC2307"
  }

  oci fs mount-target validate-key-tabsコマンドを使用して、マウント・ターゲットに関連付けられたアウトバウンド・コネクタが使用するKerberosキータブをテストします。

  oci fs mount-target validate-key-tabs --mount-target-id <mount_target_id>

  For a complete list of parameters and values for CLI commands, see the CLI Command Reference.

• LDAPおよびKerberosの詳細でマウント・ターゲットを作成または更新するには、CreateMountTargetまたはUpdateMountTargetをkerberos、idMapTypeおよびldapIdmapオプションとともに使用します。

  ValidateKeyTabsを使用して、マウント・ターゲットに関連付けられたKerberosキータブを検証します。

  APIの使用およびリクエストの署名の詳細は、REST APIのドキュメントおよびセキュリティ資格証明を参照してください。SDKの詳細は、SDKおよびCLIを参照してください。