IceWall技術レポート：

1. はじめに

IceWallでMicrosoftのActive Directory（以下、AD）と連携する事で統合Windows認証を使用したアクセスができます。統合Windows認証を使用することでADドメインに参加したWindows端末から非Windowsアプリケーションへシングルサインオンでのアクセスが可能になります。

今回紹介する方法によって、従来のWindows環境ではあきらめざるを得なかった、ドメイン信頼がない複数ADドメイン環境でのシングルサインオンを実現することができます。

本レポートでは、「信頼関係を結んでいない複数ドメイン」の環境下でIceWall MFAおよびIceWall SSOに統合Windows認証を使用したアクセスを可能にするシステムの構築手順を説明します。

なお「信頼関係を結んでいる複数ドメイン」の場合については以下のレポートを参照してください。

技術レポート：IceWall SSO Domain Gateway Optionが連携可能な複数ドメイン構成

ADドメイン1とADドメイン2は信頼関係を結んでいない、外部の信頼もしくはフォレストの信頼の関係が存在しない、独立したADドメインです。
「ADドメイン1に参加しているPC」と「ADドメイン2に参加しているPC」のどちらからアクセスしているユーザーからも統合Windows認証でIceWallにアクセスする事ができます。
認証DBには、ADドメイン1とADドメイン2に登録されている両方のユーザー情報が登録されている必要があります。
各ADドメインのADサーバー上で作成した鍵情報をIceWallのサーバー内の一つkeytabファイルに保存する事で両方のドメインからアクセスが可能になります。

以降の章では、IceWall MFAとIceWall SSOのそれぞれで環境を構築する例を記載します。

2.1.3. Windows環境 詳細情報

IceWall MFAサーバーのOSがWindows Serverの場合の各サーバーの詳細は以下の通りです。

※FQDNが大文字の場合でも、小文字で指定する必要があります。
※REALMSは大文字で記述する必要があります。

コマンド例：

4. ユーザーアカウントに関連付けされているSPNを確認する為にsetspnコマンドを実行します。

コマンド例：

2.2.2. AD 2号機での手順

作成するkeytabファイルは、1つのファイル内に複数の鍵情報を格納する必要があります。

1つのkeytabファイル内に複数の鍵情報を格納する手順として、以下の2通りの方法があります。

• AD 2号機でktpassコマンドを実行する際に、追加で「-in」オプションの指定をする。
• Linuxサーバー上のktutilコマンドで、複数のkeytabファイルを1つにまとめる。

■AD 2号機でktpassコマンドを実行する際に、追加で「-in」オプションの指定をする手順

1.AD 1号機で作成したkeytabファイルをAD 2号機に転送します。

2.「2.2.1. AD 1号機での手順」を参照し、同様の手順でkeytabファイルを作成します。

手順3のktpassコマンドを実行する際に、「-in」オプションでAD 1号機のkeytabファイルを指定します。
以下のコマンド例は、SPNを登録するユーザー名を「mfa01_ad02」、及び作成するkeytabファイル名を「krb5.keytab」として説明します。

コマンド例：

2.2.3. IceWall MFAサーバーでの手順

1.IceWall MFAの製品マニュアル「導入ガ イ ド for 統合 Windows 認証オプシ ョ ン」を参照し、インストールと設定を行います。

2.作成したkeytabファイルをIceWall MFAサーバーに転送します。
OSがLinuxの場合は「/opt/icewall-mfa/mfa/config/plugin/iwa/krb5.keytab」に配置します。
OSがWindows Serverの場合は「C:\Program Files\icewall-mfa\mfa\config\plugin\iwa\krb5.keytab」に配置します。

3.Tomcatを実行するユーザーに、keytabファイルの読み込み権限を設定します。

OSがLinuxの場合のコマンド例：

OSがWindowsの場合は、keytabファイルのプロパティからTomcatの起動ユーザーの読み込み権限を確認します。

5. 設定ファイルkrb5.confの「default_realm」を設定します。
krb5.confの配置する場所は、JavaのバージョンとOSの組み合わせによって異なります。
「default_realm」に設定する値は存在しないREALMでも動作可能ですが、例として「DOMAIN01.LAN01」で説明します。

◎OpenJDK 1.8.0 と Linux の組み合わせの場合
/etc/krb5.conf

6. DNSの名前解決の設定を行います。

hosts設定例：

※名前解決の候補を複数記述する場合は、FQDNを先に記述する必要があります。

2.2.4. クライアント端末での手順

1. IceWall MFAサーバー、およびADサーバーの名前解決ができるようにDNS設定を行います。

2. クライアント端末をADドメインサーバーにドメイン参加させます。

3. Microsoft Internet Explorerを起動し、画面右上の歯車のアイコンをクリックして「インターネット オプション(O)」を表示します。

4. 以下の順序で「ローカル イントラネット」の設定画面を表示します。
[セキュリティ タブをクリック] - [ローカル イントラネットを選択] - [サイトをクリック] - [詳細設定をクリック]

5. ローカルイントラネットにIceWall MFAサーバーを追加します。

設定例：

3. IceWall SSOでの構築手順

IceWall SSOでは、信頼関係を結んでいない複数ドメイン構成に対してLinux環境でのみ統合Windowｓ認証が可能です。
そのためIceWall SSOサーバーのOSがLinixの場合のみ説明します。
（Windows環境ではkeytabファイルを使用しないため、信頼関係を結んでいない複数ドメイン構成での統合Windows認証は行えません）

3.2.環境詳細

各サーバーの詳細は以下の通りです。

3.2.1. 構築手順

ここではすでにIceWall SSOでユーザーIDとパスワードによる認証ができる状態が構築されている前提で、それ以降に必要な手順を説明します。

3.2.3. AD 2号機での手順

前述の「2.2.2. AD 2号機での手順」を参照し、同様の手順でkeytabファイルを作成します。
作成するkeytabファイル名は、「krb5.keytab」とします。

4. トラブルシューティング

IceWall上での統合Windows認証でエラーとなる場合の確認ポイントを記載します。

4.1. クライアント端末でのKerberosチケットの取得確認

クライアント端末でKerberosチケットの取得が成功しているか確認する場合は、「klist」コマンドを実行します。

klistコマンド例：

4.2. keytabファイル内の鍵情報の確認

keytabファイル内の鍵情報を確認する方法を説明します。
以下の手順はLinuxサーバー上での確認手順です。

1. 「krb5-workstation」をインストールして、ktutilコマンドを使用できるようにします。

2. ktutilコマンドでkeytabファイルの内容を表示します。

関連技術レポート