ChromeOS デバイスに Kerberos シングル サインオンを設定する

デバイスに設定されるチケットの有効期限は 1 日間ですが、Active Directory サーバーではデフォルトで有効期限が 10 時間に制限されます。これらの値を変更する方法について詳しくは、上述のチケットの取得方法を設定するをご覧ください。チケットは、ユーザーがユーザー名とパスワードを再入力しなくても renew_lifetime で設定された期間内であれば自動で更新することができます。ChromeOS デバイスでも有効期限を設定できますが、上述のチケットの取得方法を設定するで説明されているように、Active Directory サーバーで設定される制限が存在します。ChromeOS デバイスでは、renew_lifetime がデフォルトでゼロ（0）に設定されており、これはチケットが自動更新されないことを意味します。チケットが有効期限切れで自動更新できない場合、手動でチケットを更新する必要があるというメッセージが表示されます。チケットの有効期限が切れたままの場合、ユーザーがチケットを更新するまで Kerberos 認証は機能しません。

1. 管理対象の ChromeOS デバイスにログインします（まだログインしていない場合）。
2. 右下の時刻を選択します。
3. 設定アイコン をクリックします。
4. Kerberos セクションで [Kerberos チケット] をクリックします。
5. 更新するチケットを見つけます。
6. 右側のその他アイコン [今すぐ更新] をクリックします。
7. Active Directory のユーザー名とパスワードを入力します。
   注: Chrome OS では user@domain 表記のみをサポートしています。domain/user 表記はサポートしていません。
8. （省略可）チケットを自動的に更新するには、[パスワードを保存する] チェックボックスをオンにします。
9. （省略可）設定ファイルを編集します。
   1. [詳細設定] をクリックします。
   2. Kerberos の設定情報（チケットの有効期間、暗号化タイプ、ドメインレルムのマッピングなど）を変更します。詳しくは、チケットの取得方法を設定するをご覧ください。
   3. [保存] をクリックします。
10. [更新] をクリックします。

詳細情報

• ログイン中にチケットを自動で追加するポリシーがユーザーに設定されている場合、以下が適用されます。
  • ログイン用のパスワードは Active Directory 用のパスワードとして使用されます。
  • PIN または指紋など、パスワード以外を使用してログインした場合、チケットは自動で作成されません。このようなケースでは、設定ページで Active Directory 用のパスワードを指定して手動でチケットを更新する必要があります。
  • デバイスのロックまたはロック解除によってチケットが自動更新されることはありません。
  • ユーザーがポリシーによって自動で追加されたチケットを更新する場合、パスワードを保持することはできません。これらのチケットの自動更新には、常にログイン用のパスワードを使用します。
• ChromeOS デバイスでは、パスワードが保存されているチケットの自動更新が試みられます。対象となるのは、ポリシーによって作成されたチケットのログイン用パスワード、または手動で作成されたチケットの保存済みのパスワードです。
• スケジュール設定された更新は失敗する可能性があるため、チケットは毎回自動更新されるとは限りません。たとえば、デバイスがスリープモードになっていたり、ネットワークに問題があったりすることで、更新できない場合があります。このようなケースでは、ユーザーが設定ページでチケットを手動で更新する必要があります。または、ポリシーによって設定されている場合は、ログアウトしてから再度ログインすることで自動で新しいチケットを取得することもできます。

1. 管理対象の ChromeOS デバイスにログインします（まだログインしていない場合）。
2. 右下の時刻を選択します。
3. 設定アイコン をクリックします。
4. [ユーザー] で [Kerberos チケット] をクリックします。
5. 削除するチケットを見つけます。
6. 右側のその他アイコン [このデバイスから削除] をクリックします。

ユーザーは Kerberos の設定（krb5.conf）を変更して、新しいチケットを追加したり、既存のチケットを更新したりできます。Kerberos 鍵配布センター（KDC）とやり取りする ChromeOS コードは、MIT Kerberos ライブラリをベースにしています。設定の詳細については、MIT Kerberos のドキュメントをご覧ください。ただし、すべてのオプションをサポートしているわけではありません。

ChromeOS がサポートしているオプションは次のとおりです。

セクション	関連するオプション、値
[libdefaults]	canonicalize clockskew default_tgs_enctypes default_tkt_enctypes dns_canonicalize_hostname dns_lookup_kdc extra_addresses forwardable ignore_acceptor_hostname kdc_default_options kdc_timesync noaddresses permitted_enctypes preferred_preauth_types proxiable rdns renew_lifetime ticket_lifetime udp_preference_limit
[realms]	admin_server auth_to_local kdc kpasswd_server master_kdc
[domain_realm]	任意の値
[capaths]	任意の値

例: 有効期間が異なるチケットをリクエストする

[libdefaults]

        ticket_lifetime = 16h

この例では、有効期間が 16 時間のチケットをリクエストしています。有効期間はサーバー側で制限されていることがあります。デフォルトは 10 時間です。

サーバー側の制限を変更するには:

1. グループ ポリシー管理コンソールを開きます。
2. [設定] [セキュリティ設定] [アカウント ポリシー] [Kerberos ポリシー] に移動します。
3. [ユーザー チケットの最長有効期間] ポリシーを変更します。

例: 更新可能な期間が異なるチケットをリクエストする

[libdefaults]

        renew_lifetime = 14d

この例では、更新可能な期間が 14 日間のチケットをリクエストしています。更新可能な期間はサーバー側で制限されていることがあります。デフォルトは 7 日間です。

サーバー側の制限を変更するには:

1. グループ ポリシー管理コンソールを開きます。
2. [設定] [セキュリティ設定] [アカウント ポリシー] [Kerberos ポリシー] に移動します。
3. [ユーザー チケットを更新できる最長有効期間] ポリシーを変更します。

Google は、デフォルトで強力な AES 暗号化を実行します。暗号化タイプに関するエラーが発生した場合は、サーバー環境の一部で AES 暗号化を処理できていない可能性があるため、これを修正することをおすすめします。

あるいは、開発環境用の設定から default_tgs_enctypes、default_tkt_enctypes、permitted_enctypes の 3 行を削除することを検討してください。削除することで、MIT Kerberos ドキュメントにあるすべての暗号化タイプが有効になります（脆弱と判断されたものを除く）。セキュリティの設定がご利用環境のニーズに合っていることをご確認ください。暗号化タイプには、安全とはみなされなくなったものも存在します。

すべての暗号化タイプが有効であることを確認したら、セキュリティ リスクを最小限に抑えるために default_tgs_enctypes、default_tkt_enctypes、permitted_enctypes の暗号化タイプを適切なタイプのみに制限することをおすすめします。

1. Kerberos のユーザー名が正しく入力されていることを確認します。
   Kerberos のユーザー名（[email protected]）は、次の要素で構成されます。
   • ユーザーのログイン名（sAMAccountName）
   • Kerberos レルム（通常は Windows ドメイン名と同じ）
2. ネットワーク接続が正しく設定されていることを確認します。
   Kerberos で標準として使用される 88 番のポートを使って ChromeOS デバイスからサーバーにアクセスできることを確認してください。
3. DNS が正しく設定されていることを確認します。
   Kerberos は、特定の DNS SRV レコードをリクエストして Kerberos サービスの DNS ドメイン名を見つけます。たとえば、ログイン ドメイン（レルム）が example.com で、唯一の Kerberos サービスの DNS ドメイン名が dc.example.com である場合は、次の DNS SRV レコードを追加する必要があります。

サービス	プロトコル	優先度	重み	ポート	ターゲット（ホスト名）
_kerberos	_udp.dc._msdcs	0	100	88	dc.example.com
_kerberos	_tcp.dc._msdcs	0	100	88	dc.example.com
_kerberos	_udp	0	100	88	dc.example.com
_kerberos	_tcp	0	100	88	dc.example.com
_kerberos-master	_udp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_tcp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_udp	0	100	88	dc.example.com
_kerberos-master	_tcp	0	100	88	dc.example.com

DNS 設定を変更できない場合は、このようなマッピングを Kerberos の設定に追加できます。

例:

[realms]

        EXAMPLE.COM = {

            kdc = dc.example.com

        master_kdc = dc.example.com

}

それでも Kerberos チケットを取得できない場合は、システムログを収集します。可能であれば、tcpdump のログや Wireshark のログも収集して、サポートにお問い合わせください。