Red Hat Identity Management の
利用前にチェックするべき項目にチェックするべき項目チェックするべき項目するべき項目項目
レッドハット株式会社株式会社 2018-08-15
このスライドの位置付けと目的の位置付けと目的けと目的目的
●
対象
● Red Hat Identity Managementの構築をこれから行う人構築をこれから行う人をこれから行う人行う人う人人
●
目的
● 構築をこれから行う人前に考慮するべき点や、避けるべき構成などについに考慮するべき点や、避けるべき構成などについ考慮するべき点や、避けるべき構成などについするべき点や、避けるべき構成などについ点や、避けるべき構成などについや、避けるべき構成などについ避けるべき構成などについけるべき点や、避けるべき構成などについ構成などについなどに考慮するべき点や、避けるべき構成などについつい
概要
●クライアントについてに考慮するべき点や、避けるべき構成などについついて
●IdM
サーバについてに考慮するべき点や、避けるべき構成などについついて
●必要サーバ数サーバについて数
●サーバについて構成などについ
●利用したい機能を決めるしたい機能を決めるを決めるめる
●NG
集
クするべき項目ライアントについてにチェックするべき項目ついて
●ユーザ数とクライアント数、クライアント数とクライアント数、クライアントクライアントについて数、避けるべき構成などについクライアントについてOSの構築をこれから行う人確認
● クライアントについて側がサポートされるのはがサポートされるのはサポートについてされるの構築をこれから行う人はRHELの構築をこれから行う人場合のみの構築をこれから行う人み ● IdMは1企業内での利用を想定しておりでの構築をこれから行う人利用したい機能を決めるを想定しておりしており10万ユーザ、ユーザ数とクライアント数、クライアント、避けるべき構成などについ5万ユーザ、 グループ規模でテストされています。規模でテストされています。でテストについてされています。 ●SSSD
がサポートされるのは利用したい機能を決めるでき点や、避けるべき構成などについるOSか?
● SSSDの構築をこれから行う人バについてージョンに考慮するべき点や、避けるべき構成などについより利用したい機能を決めるでき点や、避けるべき構成などについる機能を決めるがサポートされるのはかわるの構築をこれから行う人で 要サーバ数確認 ●SSSD
がサポートされるのは利用したい機能を決めるでき点や、避けるべき構成などについないOSを利用したい機能を決めるするか?
● LDAP、避けるべき構成などについKerberosで接続できるがあまりスケールしないでき点や、避けるべき構成などについるがサポートされるのはあまりスケールしない の構築をこれから行う人で要サーバ数注意必要サーバ数について数についてにチェックするべき項目ついて
●最低2システムは必要は必要サーバ数
● IdMがサポートされるのは壊れると全システムに影響するため可用性対策とれるとクライアント数、クライアント全システムに影響するため可用性対策とシステムは必要に考慮するべき点や、避けるべき構成などについ影響するため可用性対策とするため可用したい機能を決める性対策ととクライアント数、クライアント して必要サーバ数 ● ネットについてワーク的に考慮するべき点や、避けるべき構成などについとクライアント数、クライアントても近い場合をのぞけば 近い場合をのぞけば い場合のみをの構築をこれから行う人ぞけば 2 × (データセンタ数) あるとクライアント数、クライアントよい ●マルチマスタレプ規模でテストされています。リケーションに考慮するべき点や、避けるべき構成などについよるActive-Active構
成などについがサポートされるのは基本
● 1サーバについてあたり目安としてはクライアントとクライアント数、クライアントしてはクライアントについて2000〜3000 台程度 ● サポートについて上限はは60台マルチマスタ構成などについサーバ数について構成についてにチェックするべき項目ついて
●物理サーバ・仮想サーバのどちらでもよいサーバについて・仮想サーバのどちらでもよい仮想サーバについての構築をこれから行う人どちら行う人でも近い場合をのぞけば よい
●メモリ量の目安の構築をこれから行う人目安としてはクライアント
● 10,000ユーザ数とクライアント数、クライアント 100グループ規模でテストされています。: 最低3GB RAMとクライアント数、クライアント1 GB swap ● 100,000ユーザ数とクライアント数、クライアント 50,000グループ規模でテストされています。: 最低16 GB RAMとクライアント数、クライアント4 GB swap ●必須: IPv6がサポートされるのは有効、避けるべき構成などについFQDNの構築をこれから行う人ホストについて名、避けるべき構成などについDNSの構築をこれから行う人正引き逆き点や、避けるべき構成などについ逆
引き逆き点や、避けるべき構成などについがサポートされるのは可能を決めるであることクライアント数、クライアント
●推奨: RHEL 7の構築をこれから行う人最新版で構築、で構築をこれから行う人、避けるべき構成などについSELinuxをenforcing
※ コンテナ対応は現在のところ対応は現在のところは現在のところの構築をこれから行う人とクライアント数、クライアントころtechnology preview
利用したい機能を決めるを決める決めるめる(1/3)
●DNS
●IdM
の構築をこれから行う人自動検出・仮想サーバのどちらでもよい自動冗長化・仮想サーバのどちらでもよい負荷分散、避けるべき構成などについドメイン
参加による自動登録に利用に考慮するべき点や、避けるべき構成などについよる自動登録に利用に考慮するべき点や、避けるべき構成などについ利用したい機能を決める
● 外部のの構築をこれから行う人DNSを利用したい機能を決めるするか、避けるべき構成などについIdM内での利用を想定しており蔵DNSだけを使う場合う人場合のみ に考慮するべき点や、避けるべき構成などについはroot zoneをも近い場合をのぞけば たせるかどう人か ●OTP
● IdM内での利用を想定しており蔵の構築をこれから行う人HOTP/TOTPを利用したい機能を決めるするか、避けるべき構成などについサードパーティ OTPソリューションをRADIUSで統合のみするか ●スマートについてカード認証
● ドキュメントについてに考慮するべき点や、避けるべき構成などについ動作確認済みスマートカード一覧があるみスマートについてカード一覧があるがサポートされるのはある の構築をこれから行う人で確認する利用したい機能を決めるを決める決めるめる(2/3)
●CA
局
● サービスとクライアント数、クライアントユーザ数とクライアント数、クライアント用したい機能を決めるの構築をこれから行う人み発行う人可能を決める ● 自己署名か、避けるべき構成などについ外部のCA局から行う人発行う人された証明書を利用すを利用したい機能を決めるす るか? ● CA局を構築をこれから行う人する場合のみは必ず2つ以上作成などについする ●SSH
公開鍵配布
● ホストについての構築をこれから行う人fingerprintをDNSで配るかLDAPで配るか? ●sudoer
配布
● SSSDに考慮するべき点や、避けるべき構成などについよるキャッシュがサポートされるのは必須(RHEL 7.0+, 6.6+)利用したい機能を決めるを決める決めるめる(3/3)
●
HBAC
● RHEL 6.4から行う人対応は現在のところ
●
Active Directory
とクライアント数、クライアントの構築をこれから行う人Cross realm trustに考慮するべき点や、避けるべき構成などについよるWindows
から行う人の構築をこれから行う人SSO
● ADとクライアント数、クライアントIdMは別のドメインである必要があるの構築をこれから行う人ドメインである必要サーバ数がサポートされるのはある
●
アプ規模でテストされています。リケーションの構築をこれから行う人認証統合のみ
● upstreamに考慮するべき点や、避けるべき構成などについ連携用したい機能を決めるドキュメントについてあり https://www.freeipa.org/page/HowTos
● SaaS等の場合はの構築をこれから行う人場合のみはRed Hat SSOなどを利用したい機能を決めるしてOpenID
NG集
●ロードバについてランサに考慮するべき点や、避けるべき構成などについよる負荷分散はしない
● 通常ははDNSで行う人う人の構築をこれから行う人で不要サーバ数 ● DNSに考慮するべき点や、避けるべき構成などについよるロードバについてランスを利用したい機能を決めるでき点や、避けるべき構成などについない場合のみはクライ アントについて側がサポートされるのはSSSDでサーバについてを列挙 ●1
台だけで構築をこれから行う人しない
● IdMサーバについて障害時に関連サービスでの新規ログインがでに考慮するべき点や、避けるべき構成などについ関連サービスでの構築をこれから行う人新規ログインがサポートされるのはで き点や、避けるべき構成などについなくなります ●AD
や既存の他の構築をこれから行う人他Kerberosとクライアント数、クライアント同じドメインにしないじドメインにしないドメインに考慮するべき点や、避けるべき構成などについしない
●一部のの構築をこれから行う人パッケージだけを更新しない。更新するとクライアント数、クライアントき点や、避けるべき構成などについは
関連する全システムに影響するため可用性対策とての構築をこれから行う人パッケージを更新する。
関連資料
●
