Kerberos認証の設定

マウント・ターゲットに対するKerberos認証の有効化

• コンソール
• CLI
• API

• 1. ナビゲーション・メニューを開き、「ストレージ」をクリックします。「File Storage」で、「Mount Targets」をクリックします。
  2. 「リスト範囲」セクションの「コンパートメント」を選択します。
  3. 目的のマウント・ターゲットを検索し、「アクション・メニュー」()をクリックして、「詳細の表示」をクリックします。
  4. 「NFS」タブをクリックして、マウント・ターゲットの既存のNFS設定を表示または編集します。
  5. Kerberosの横にある「管理」をクリックします。

  6. 「Kerberosの管理」ウィンドウで、次の詳細を指定します:

     • Kerberosレルム: このマウント・ターゲットが結合するKerberosレルムを入力します。
     • 「キータブ情報」セクションで、次の詳細を入力します:
       • 使用するキータブ・シークレットを含むVaultを選択します。
       • 「キータブ・シークレット」を選択します。
       • 「現在のkeytabシークレットのバージョン」および「バックアップkeytabシークレットのバージョン」を選択します。
       注意
       
       ボールトおよびキーは必ずバックアップしてください。そうしないと、ボールトとキーの削除によって、そのキーが暗号化に使用されたリソースまたはデータを復号化できなくなります。詳細は、ボールトおよびキーのバックアップとリストアを参照してください。

  7. Kerberosを有効にしてkeytabの内容を検査する前に、「keytabの検証」をクリックします。

     注意
     
     キータブが正しく構成されていないと、NFSクライアントがファイル・システムにアクセスできなくなる可能性があります。
  8. Kerberosの有効化: Kerberosを使用するには、このオプションを有効にします。詳細は、Kerberos認証の使用を参照してください。
  9. 「保存」をクリックします。

• oci fs mount-target createコマンドを--kerberos、--idmap-typeおよび--ldap-idmapオプションとともに使用して、マウント・ターゲットを作成し、KerberosおよびLDAPの詳細を指定します。

  oci fs mount-target create --availability-domain <availability_domain> --compartment-id <compartment_id> --subnet-id <subnet_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  oci fs mount-target updateコマンドを--kerberos、--idmap-typeおよび--ldap-idmapオプションとともに使用して、既存のマウント・ターゲットをKerberosおよびLDAPの詳細で更新します。

  oci fs mount-target update --mount-target-id <mount_target_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  次にkrb.jsonファイルの例を示します。

  {
    "currentKeyTabSecretVersion": 1,
    "isKerberosEnabled": true,
    "kerberosRealm": "EXAMPLE.COM",
    "keyTabSecretId": "ocid1.vaultsecret.oc1.eu-frankfurt-1.exampleuniqueID"
  }

  次にldap.jsonファイルの例を示します。

  {
    "cacheLifetimeSeconds": 300,
    "cacheRefreshIntervalSeconds": 300,
    "groupSearchBase": "cn=accounts,dc=example,dc=com",
    "negativeCacheLifetimeSeconds": 300,
    "outboundConnector1Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "outboundConnector2Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "userSearchBase": "cn=accounts,dc=example,dc=com",
    "schemaType": "RFC2307"
  }

  oci fs mount-target validate-key-tabsコマンドを使用して、マウント・ターゲットに関連付けられたアウトバウンド・コネクタが使用するKerberosキータブをテストします。

  oci fs mount-target validate-key-tabs --mount-target-id <mount_target_id>

  CLIコマンドのパラメータおよび値のリストは、CLIコマンド・リファレンスを参照してください。

• CreateMountTargetまたはUpdateMountTargetをkerberos、idMapTypeおよびldapIdmapオプションとともに使用して、LDAPおよびKerberosの詳細を含むマウント・ターゲットを作成または更新します。

  ValidateKeyTabsを使用して、マウント・ターゲットに関連付けられたKerberosキータブを検証します。

  APIの使用およびリクエストの署名の詳細は、REST APIのドキュメントおよびセキュリティ資格証明を参照してください。SDKの詳細は、SDKおよびCLIを参照してください。