7 Himmelblau を利用した Microsoft Entra ID による認証 #Edit source
| 改訂履歴 | |
|---|---|
| 2026-06-23 | |
概要#
Himmelblau は Microsoft Entra ID 認証と Linux 認証を統合するための仕組みです。本章では openSUSE Leap で必要なシステム設定について説明しています。具体的には必要なパッケージのインストールや PAM モジュールの有効化、そして NSS 参照の設定と Entra ID ドメインの設定、そして Himmelblau サービスの起動までを説明しています。
7.1 Himmelblau のインストール #Edit source
まずは Himmelblau デーモンと PAM モジュール、そして NSS モジュールをそれぞれインストールします:
>sudozypper install himmelblau pam-himmelblau libnss_himmelblau2
SSH を介して Entra ID のユーザにログインを許可したい場合は、 SSH の設定パッケージもインストールしておきます:
>sudozypper install himmelblau-sshd-config
7.2 Himmelblau 認証の設定 #Edit source
下記の章では、 Himmelblau を介して Entra ID ユーザを解決し、認証を行うための設定方法を説明しています。
まずは
/etc/himmelblau/himmelblau.confファイルを編集し、[global]セクション内にプライマリ Entra ID ドメインを設定します:[global] domain = example.com
次に PAM 認証に Himmelblau を追加します:
>sudopam-config --add --himmelblau/etc/nsswitch.confファイルを編集して、passwd,group,shadowの各データベースにhimmelblauを追加します。なお、既存のデータベース設定項目は削除しないでください。たとえば下記のようになります:passwd: files systemd himmelblau group: files systemd himmelblau shadow: files systemd himmelblau
Himmelblau サービスを有効化して起動します:
>sudosystemctl enable --now himmelblaud himmelblaud-taskshimmelblau-sshd-config パッケージをインストールした場合は、 SSH デーモンも再起動しておきます:
>sudosystemctl restart sshd.service
システムの設定が完了すると、 Entra ID のユーザがサインインできるようになります。 SSH サポートをインストールしている場合は、 SSH 経由でもログインできるようになります。なお、初めてユーザがサインインに成功すると、デバイスが Entra ID に登録され、テナントのポリシーで設定された認証要素を入力するように求める場合があります。
7.3 設定の確認 #Edit source
まずはデーモンが動作していることを確認します:
>sudosystemctl status himmelblaud himmelblaud-tasks
次に Himmelblau デーモンが動作していることを確認します:
>sudoaad-tool status
さらに NSS で Entra ID のユーザが解決できていることを確認します:
>getent passwd USER>id USER
何らかの問題が発生している場合は、システムジャーナルを調査すると良いでしょう:
>sudojournalctl -u himmelblaud -u himmelblaud-tasks
7.4 サインインできるユーザの制限 #Edit source
pam_allow_groups を設定していない場合、設定した Entra ID 内の全てのユーザが認証できるようになります。アクセスを制限したい場合は、許可したいユーザのプリンシパル名や Entra ID グループオブジェクト ID を、 /etc/himmelblau/himmelblau.conf 内に設定してください:
[global] pam_allow_groups = user@example.com,00000000-1111-2222-3333-444444444444
設定の変更後は、 Himmelblau の両方のサービスをそれぞれ再起動してください:
>sudosystemctl restart himmelblaud himmelblaud-tasks
7.5 Intune ポリシー強制の有効化 #Edit source
Himmelblau に対して Intune の準拠ポリシーを適用したい場合は、 /etc/himmelblau/himmelblau.conf 内でポリシー処理を有効化します:
[global] apply_policy = true
設定の変更後は、 Himmelblau の両方のサービスをそれぞれ再起動してください:
>sudosystemctl restart himmelblaud himmelblaud-tasks