Enabling Kerberos Authentication

Enabling Kerberos Authentication#

Prerequisite: Kerberosの理解とセットアップ

参考 https://web.mit.edu/kerberos/

Kerberos認証を構成するには、Kerberosサーバーをセットアップし、 kinit を使用してクライアントでチケットを取得する必要があります。

注 KerberosをサポートするActive Directoryユーザーは、kinitを必要としません。

pgAdminのKerberos認証を有効にするには、 pgAdminがサーバーモードでインストールされているシステムで config_local.py または config_system.py config.py ドキュメントを参照してください。これらの設定を config.py ファイルからコピーし、次のパラメーターの値を変更できます。

Parameter

Description

AUTHENTICATION_SOURCES

このパラメータのデフォルト値は internal です。 Kerberos認証を有効にするには、このパラメータの値のリストに kerberos を含める必要があります。次のように値を変更できます。

  • [kerberos] pgAdminはKerberos認証のみを使用します。

  • [kerberos, internal] pgAdminは、最初にkerberosを介してユーザーを認証しようとします。その認証が失敗した場合、ログインページに戻り、認証用の内部pgAdminユーザー資格情報を提供する必要があります。

KERBEROS_AUTO_CREATE_USER

認証に成功したKerberosユーザーに対応するpgAdminユーザーを自動的に作成する場合、値を True に設定します。パスワードはpgAdminデータベースに保存されないことに注意してください。

KRB_APP_HOST_NAME

pgAdmin Webサーバーホスト名 の名前を指定します。設定されていない場合、 default_server パラメーターの値が取得されることに注意してください。

HTTPサービスのキータブファイル#

  • HTTPサービスプリンシパルHTTP/<host-name>@realmの Keytab ファイルを生成し、 pgAdmin ウェブサーバーマシンにコピーします。 * pgAdmin * Webサーバーを所有するオペレーティングシステムユーザーがこのファイルの所有者であり、そのユーザーがアクセスできることを確認します。

  • krb5.conf ファイルに default_keytab_name パラメーターを設定するか、環境変数 KRB5_KTNAME のいずれかを設定する必要があることに注意してください。設定されていない場合は、 KRB_KTNAME を config_local.py または config_system.py ファイルの Keytab ファイルの場所に明示的に設定します。

Apache HTTPD構成#

pgAdmin サーバーがApacheサーバーの下にある場合、 Apache HTTPD Configuration の Directory 指示子に次のパラメーターを追加する必要があります。

  • WSGIScriptリロードオン

  • WSGIPass承認オン

Kerberos認証を構成するためのブラウザ設定#

SPNEGO を介してKerberos認証を使用するには、クライアントマシンのブラウザ設定を構成する必要があります。

  • Mozilla Firefoxの場合

    • アドレスバーに about:config と入力して、低レベルFirefox構成ページを開きます。

    • Searchテキストボックスに、次のように入力します。 network.negotiate-auth.trusted-uris

    • network.negotiate-auth.trusted-uris 設定をダブルクリックし、Kerberos HTTP SPNEGOによって保護されるWebサーバーのホスト名またはドメインを入力します。複数のドメインとホスト名はコンマで区切ります。

    • OKをクリックします。

  • Google Chromeの場合

    • Windowsの場合

      • Control Panelを開き、[ Internet Options ]ダイアログにアクセスします。

      • [セキュリティ]タブを選択します。

      • ローカルイントラネットゾーンを選択し、[ Sites ]ボタンをクリックします。

      • 最初の2つのオプション 他のゾーンにリストされていないすべてのローカルイントラネットサイトを含める と プロキシサーバーをバイパスするすべてのサイトを含める がチェックされていることを確認します。

      • Advancedをクリックし、Kerberos HTTP SPNEGOによって保護されているドメインの名前を一度に1つずつWebサイトのリストに追加します。例、myhost.example.com。 [閉じる]をクリックします。

      • OKをクリックして、構成の変更を保存します。

    • LinuxまたはmacOSの場合

      • --auth-server-whitelist パラメーターをgoogle-chromeコマンドに追加します。たとえば、LinuxプロンプトからChromeを実行するには、次のようにgoogle-chromeコマンドを実行します。

      google-chrome --auth-server-whitelist = "hostname/domain"

Kerberos認証を構成するためのPostgreSQL Server設定#

  • PostgreSQLサーバーをKerberos認証で接続するには、PostgreSQLがビルドされ、必要な configuration が配置されているときにGSSAPIサポートを有効にする必要があります。

  • pgAdminでは、Serverダイアログで/"Kerberosauthentication/"フラグをTrueに設定して、PostgreSQLサーバーのKerberos認証を有効にする必要があります。有効にすると、 pgAdminはパスワードの入力を求めず、Kerberosを使用してPostgreSQLサーバーに接続しようとします。

  • Kerberos認証でpgAdminにログインして、Kerberosを使用してPostgreSQLに接続する必要があることに注意してください。

マスターパスワード#

マルチユーザーモードでは、pgAdminはユーザーのログインパスワードを使用してPostgreSQLサーバーパスワードを暗号化/復号化します。 Kerberos認証では、 pgAdminユーザーはパスワードを持っていないため、Kerberos認証を使用するように構成されていないサーバーのPostgreSQLサーバーパスワードを保存するための暗号化キーが必要です。これを行うには、構成パラメーターMASTER_PASSWORDを True に設定します。これにより、マスターパスワードを設定すると、パスワードを保存するときに暗号化キーとして使用されます。 Falseの場合、サーバーパスワードは保存できません。

目次