**FreeBSD のネイティブKerberos／LDAPを FreeIPA/IDM と統合する**

はじめに

この記事の最初の一文から、本文が全てクリスチャン・ホフステッド‑クーン（Larvitz）氏によって行われた作業に基づいていることを明確に示したいと考えています。彼が最近執筆された Integrating FreeBSD 15 with FreeIPA: Native Kerberos and LDAP Authentication を参照しており、すべてのクレジットは彼に帰属します。
ステップを共有するだけでなく、本ブログはFreeBSD のドキュメントを保管・管理する場所としても機能させたいと考えています。多くのブログは時間とともに消えてしまうため、私が去った後もこの知識が残るようにしたいのです。

動機

• 個人的なバージョンを作成し、コードスニペットをすぐにコピー＆ペーストできるようにする。
• 詳細なコマンドと出力結果を提供する。
• 便利な改善点（例：ローカルコンソールでのログイン）を追加する。

クリスチャン氏が不快にならないことを願っています。この記事については直接連絡してお知らせします。

なぜ今うまくいくのか

FreeBSD は 15.0‑RELEASE で Heimdal Kerberos 実装から MIT Kerberos に切り替わりました。この変更により、新しい方法が可能になり、以前の試みよりもはるかに簡素化されました。

新しいアプローチでは MIT Kerberos と

net/nss-pam-ldapd

前提条件

1. FreeIPA/IDM サーバー（旧 Connect FreeBSD 14.0‑STABLE to FreeIPA/IDM 記事の手順を参照）。

2. pkg

   リポジトリを

   quarterly

   から

   latest

   に切り替える。

# mkdir -p /usr/local/etc/pkg/repos
# sed 's/quarterly/latest/g' /etc/pkg/FreeBSD.conf > \
   /usr/local/etc/pkg/repos/FreeBSD.conf

1. 必要パッケージをインストール。

# pkg install -y nss-pam-ldapd pam_mkhomedir sudo doas

1. DNS が FreeIPA サーバーを解決できない場合は、

   /etc/hosts

   に追加。

cat <<__EOF >> /etc/hosts
172.27.33.200  rhidm.lab.org   rhidm
172.27.33.215  fbsd15.lab.org  fbsd15
__EOF

FreeIPA サーバーの設定

IPA ホスト上で以下を実行。

# kinit admin
Password for admin@LAB.ORG:
# ipa dnsrecord-add lab.org fbsd15 --a-rec=172.27.33.215 --a-create-reverse
# ipa host-add fbsd15.lab.org
# ipa-getkeytab -s rhidm.lab.org -p host/fbsd15.lab.org@LAB.ORG \
                -k /root/fbsd15.keytab
# cp /root/fbsd15.keytab /usr/share/ipa/html/
# chmod 644 /usr/share/ipa/html/fbsd15.keytab

FreeBSD ホストの設定

1. キートブをコピー

fetch -o /etc/krb5.keytab http://rhidm.lab.org/ipa/config/fbsd15.keytab
chmod 640 /etc/krb5.keytab
klist -k   # 内容確認

1. sshd

   がキートブを読み取れるようにする

pw groupmod nslcd -m sshd

1. Kerberos 設定ファイル (

   /etc/krb5.conf

   ) を作成

[libdefaults]
  default_realm    = LAB.ORG
  dns_lookup_kdc   = false
  dns_lookup_realm = false

[realms]
  LAB.ORG = {
    kdc          = rhidm.lab.org
    admin_server = rhidm.lab.org
  }

[domain_realm]
  .lab.org = LAB.ORG
  lab.org  = LAB.ORG

1. nslcd

   の設定 (

   /usr/local/etc/nslcd.conf

   )

# RUN AS nslcd USER
uid nslcd
gid nslcd

# LDAP CONNECTION DETAILS
uri  ldap://rhidm.lab.org
base dc=lab,dc=org

# USE SYSTEM KEYTAB FOR AUTH
sasl_mech  GSSAPI
sasl_realm LAB.ORG

# FORCE /bin/sh SHELL
map passwd loginShell "/bin/sh"

1. nslcd

   を有効化・起動

service nslcd enable
service nslcd start

1. /etc/nsswitch.conf

   の更新

sed -i '.OLD' -E \
  -e 's/^group:.*/group: files ldap/g'   \
  -e 's/^passwd:.*/passwd: files ldap/g' \
  /etc/nsswitch.conf

結果として最小限のファイルは次のようになります。

group: files ldap
passwd: files ldap
hosts: files dns
networks: files
shells: files
services: compat
protocols: files
rpc: files

1. ローカルユーザー検索をテスト

id vermaden   # UID/GID とグループが表示されるはず

1. SSH で Kerberos を使用する設定

/etc/ssh/sshd_config

# KRB5/GSSAPI AUTH
GSSAPIAuthentication      yes
GSSAPICleanupCredentials  yes
GSSAPIStrictAcceptorCheck no

再起動。

service sshd restart

1. ホームディレクトリを自動生成

/etc/pam.d/sshd

sed -i '.OLD' '/^session.*/i\
session optional pam_mkhomedir.so mode=0700' /etc/pam.d/sshd

1. sudo 権限を付与

pw groupmod wheel -m vermaden

cat <<__EOF >> /usr/local/etc/sudoers
%wheel ALL=(ALL:ALL) NOPASSWD: ALL
__EOF

1. doas

   の設定（任意）

permit nopass keepenv root   as root
permit nopass keepenv :wheel as root

コンソール Kerberos ログインの有効化

/etc/pam.d/system

pam_krb5.so

sed -i '.OLD' '/pam_krb5.so/s/^#//g' /etc/pam.d/system

これで仮想コンソールから Kerberos 資格情報でログインできるようになります。

まとめ

• FreeBSD 15 が MIT Kerberos と

  nslcd

  を通じて FreeIPA に認証されます。
• SSH は GSSAPI/Kerberos を利用して接続します。
• 初回ログイン時にホームディレクトリが自動生成されます。
• wheel グループにはパスワード不要で sudo 権限があります。
• コンソールからも Kerberos でログインできます。

環境に合わせて手順を調整し、クリーンで保守性の高い FreeBSD‑FreeIPA 統合をお楽しみください！