Kerberosのガイドライン

Kerberosの設定に関するDataStaxの推奨事項と要件を説明します。

Kerberosチケットを使用して認証することをDSEクライアントに許可するには、DSEをサービス・プリンシパルに設定するためのDataStax Enterpriseの要件と推奨事項を環境が満たしていることを確認します。DSE Authorizer（DSEオーソライザー）も有効になっている場合は、データベース・アクセス制御のロールにユーザー・プリンシパル（レルムを含む）をマップできます。

注: Kerberosチュートリアルには、DataStax EnterpriseとOpsCenterでクライアント側のDSE Kerberos認証を確立する手順が順を追って説明されています。Kerberosは、秘密鍵暗号化を使用してクライアント/サーバー・アプリケーションに強力な認証を提供するよう設計されたネットワーク認証プロトコルです。Kerberosのインストールと設定については、MIT Kerberos Consortiumのドキュメントを参照してください。

Kerberosのガイドライン

Kerberosを設定し、DataStax EnterpriseをKerberosサービス・プリンシパルとして構成する際は、以下の一般的なガイドラインが適用されます。

  • Kerberosに精通し、kinit、klist、kdestroyの各コマンドの使用方法について理解していること。
  • cassandra.yamlファイルとdse.yamlファイルに対する書き込みパーミッションと、クラスター内のすべてのノードへのアクセス権。
  • 構成が完了した後でクラスターを再起動できること。
  • 完全に機能するKerberosのKey Distribution Center（KDC）サーバー。DataStaxでは、複数のKDCサーバーの使用を推奨しています（1台をプライマリまたは管理KDCサーバーとし、その他すべてをセカンダリ・サーバーとして使用）。
    警告: セキュリティ保護のため、DataStaxでは、DSEクラスターの外部にあるセキュリティ保護されたサーバー上でKDCを実行することを推奨しています。KDCサーバーをDataStax Enterpriseノードにインストールしないでください。
  • KDCサーバーの適切なセキュリティ（ファイアウォールや、KDCマシンの物理的な保護など）。
  • Kerberosプリンシパルを管理し、キータブ・ファイルをエクスポートする（または、それを行うKDC管理者にアクセスする）権限。
  • DSEキータブ・ファイルの確実なセキュリティ保護。DSEサービス・アカウントはキータブ・ファイルを所有し、読み取り/書き込みアクセス権を持っている必要があります（chmod 600）。
  • Oracle Java 8を使用する場合は、最新バージョンの使用が推奨されます。最小バージョンは1.8.0_40です。
注意: Kerberosセキュリティを使用する場合は、Kerberosチケットの範囲に注意する必要があります。suまたはsudoコマンドを使用すると、既存の認証情報が残されたままになり、その新規ユーザーとして再度認証する必要があります。認証問題が発生した場合は、適切なKerberosチケットを使用していることを確認してください。

DataStax EnterpriseでのKerberosの使用

以下のトピックでは、KerberosをDataStax Enterpriseのさまざまな機能や他のソフトウェアとともに使用する方法について説明します。
重要: DataStaxでは、機能の重複を避けるため、KerberosとSSLのいずれかを選択し、暗号化と認証の両方に使用することを推奨しています。