ApacheのKERBEROS認証を用いたAD連携

ApacheのKerberos認証でAD認証連携させる

Apacheの基本認証にActiveDirectory(AD)のユーザ認証と連携する方法は2つあります。
　・Apacheの基本認証にLDAP認証を用いたAD連携
　・ApacheのKERBEROS認証を用いたAD連携
ここでは、「KERBEROS認証を用いたAD連携」について説明します。

■ApacheのKERBEROS認証を用いたAD連携

利用モジュール	mod_auth_kerb
メリット	Apache-ADサーバ間はKERBEROS経由を利用するため、パスワードが暗号化されます。
デメリット	KERBEROS認証の場合は、ActiveDirectory上の有効なユーザ全員が対象となり、ActiveDirectory上の特定OU内のユーザのみにすることは出来ないようです。 特定ユーザのみにする場合は「Require user」か、ユーザを列挙したファイルを用意して「Require group」を使用することになります。 Chromeブラウザからの認証は500エラーが発生する。(IE,FireFoxは正常にアクセスできることを確認)

■ApacheとActiveDirectory(AD)連携手順の概要

DCサーバ側作業
　・事前作業
Apacheサーバ側作業
　・mod_auth_kerbモジュールインストール
　・krb5.confファイルの編集
　・ApacheのAD連携設定

事前作業(DCサーバ側作業)

■ActiveDirectory構築
　ここでは、ActiveDirectoryが事前に構築済みであることを前提とします。

■基本認証用アカウントの作成
　ADに基本認証用アカウントを作成する。

mod_auth_kerbモジュールインストール

# yum install mod_auth_kerb

krb5.confのAD連携設定

ログディレクトリ/var/log/krb5

Windowsドメイン名	ad.hoge.com
DC(ドメインコントローラ)サーバ	192.168.2.4

■ログディレクトリ作成

 # mkdir /var/log/krb5 ;chown apache /var/log/krb5

■krb5.confファイルの編集

 # vi /etc/krb5.conf

[logging]
default = FILE:/var/log/krb5/krb5libs.log
kdc = FILE:/var/log/krb5/krb5kdc.log
admin_server = FILE:/var/log/krb5/kadmind.log

[libdefaults]
default_realm = AD.HOGE.COM
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true

[realms]
AD.HOGE.COM = {
default_domain = ad.hoge.com
kdc = 192.168.2.4:88
admin_server = 192.168.2.4:749
}

[domain_realm]
.ad.hoge.com = AD.HOGE.COM
ad.hoge.com = AD.HOGE.COM

※大文字小文字は重要です。

■krb5設定の動作確認

# kinit [e-mail]
Password for [e-mail]:

※何も表示されず終了すれば、成功！！
※ドメイン名は大文字にすること！！
※kinitコマンドはkrb5-workstationパッケージに含まれている

ApacheのAD連携設定

 # vi /etc/httpd/conf/httpd.conf

LoadModule auth_kerb_module modules/mod_auth_kerb.so

Alias /krb5 /var/www/krb5
<Location /krb5>
AuthType Kerberos
AuthName "Kerberos Login(ActiveDirectory)"
KrbAuthRealms AD.HOGE.COM
KrbVerifyKDC Off
KrbServiceName HTTPS/webdav-01.web.hoge.com
KrbMethodNegotiate off
KrbSaveCredentials off
Require valid-user
Order deny,allow
Deny from none
Allow from all
</Location>

<Directory "/var/www/krb5">
Options -Indexes FollowSymLinks
Order allow,deny
Allow from all
</Directory>

IEとFireFoxでアクセスできるが、Chromeでは500エラーとなってしまう場合は、下記を追加することで回避できる。

KrbMethodNegotiate off
KrbSaveCredentials off