LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

Linuxのサーバーが増えるたびに、同じ人のアカウントを1台ずつ作っている。退職した人のアカウントがどのサーバーに残っているのか、確かめようがない——。PCはActive Directoryで管理していても、Linuxのサーバーは手作業のまま、という会社では、こうした食い違いが起こりがちです。FreeIPAは、LinuxやUNIXのサーバーの利用者・認証・アクセスの権限を1か所で管理するための、オープンソースのソフトウェアです。

ログインできる人や、管理者の権限で作業できる人の範囲を、一元的に決められます。ただし万能ではなく、Active Directoryがすでにある会社では、どちらに何を任せるかの整理が要ります。本記事では、社内の認証基盤を任された情報システムの担当者に向けて、FreeIPAでできること、Active Directoryとの違い、導入の進め方、そして外部に頼むときに確認したい点を整理します。

FreeIPAとは

FreeIPAの公式のREADMEは、このソフトウェアを、LinuxやUNIXのシステムの利用者の情報、認証、アクセスの制御を一元的に管理できるようにするもの、と説明しています。^*1 広く使われているオープンソースの部品を組み合わせ、インストールと設定の手間を減らすことに力を入れている点が特徴です。

• 中身の部品：利用者の情報を入れておくLDAPサーバー（389 Directory Server）、ログインの仕組みのKerberos（ケルベロス。一度のログインで複数のサーバーを使えるようにする認証方式）、証明書を発行するDogtag、DNS（サーバーの名前とアドレスを対応させる仕組み）など^*2
• 操作の方法：Webの画面とコマンドの両方で管理でき、ほかのシステムから呼び出す口（API）もあります
• 冗長化：複数のFreeIPAサーバーを並べ、どのサーバーでも更新できる形でデータを複製できます
• ライセンス：GPL（GNU General Public License）バージョン3のオープンソースです^*3

入手の方法として公式サイトが勧めているのは、FedoraやRed Hat Enterprise Linux（RHEL）、Debianなど、Linuxの配布版に含まれる検証済みの版を使う方法です。^*4 OSの更新と一緒に版を上げられます。

Active Directoryとの違い

Active Directory（AD）は、Windows Serverで動くディレクトリサービスです。アカウントの情報を格納し、1つのユーザー名とパスワードでネットワーク上の資源を使えるようにします。^*5 FreeIPAとADは、どちらも社内のアカウントを1か所で管理する仕組みですが、得意とする相手が違います。

FreeIPAは、Kerberosの信頼関係か利用者の情報の同期によって、ADの環境に組み込めます。信頼関係を結ぶと、LinuxのサーバーはADではなく主にFreeIPAとやり取りするため、公式サイトはこの形を「ADとの間接的な連携」と呼んでいます。^*7 PCはADのまま、Linuxサーバーの権限はFreeIPAで、という分担ができます。

FreeIPAでまとめて管理できるもの

公式のREADMEが利点の最初に挙げるのは、すべての利用者が同じ資格情報と同じセキュリティ設定で、すべてのサーバーにアクセスできることです。設定を1台ずつ直す必要がなくなります。

• 利用者とグループ：アカウントとパスワードを1か所で作り、退職のときは1か所で止める
• ホスト：FreeIPAに参加させたサーバーを一覧で管理し、グループに分ける
• sudoの規則：誰が、どのサーバーで、管理者の権限で作業してよいかを決める
• HBAC（ホストごとのアクセス制御）：どの利用者が、どのサーバーにログインしてよいかを決める
• SSHの公開鍵：鍵を使ったログインの鍵を、利用者ごとに登録する
• 証明書：内蔵の認証局（CA）で、サーバーの証明書を発行する

気をつけたいのはHBACの初期設定です。公式の手順書によると、インストールした直後は「allow_all」という規則によって、どの利用者もどのサーバーにアクセスできる状態です。^*8 この規則をいきなり止めると、いまの利用者が誰もログインできなくなります。手順書では、先に既存のサーバーを許可する規則を作り、確認用の機能で試してから切り替える流れを示しています。

導入の進め方

FreeIPAの導入では、ソフトを入れる作業よりも、対象と切り替えの順番を決める作業のほうが大切です。次の4つの段階で進めると、利用者を締め出す事故を避けやすくなります。

• ステップ1：対象を決める（対象のサーバー、利用者、ADと連携するかどうか）
• ステップ2：検証用の環境で試す（公式は、まず仮想マシンで試すことを勧めています）
• ステップ3：本番のサーバーを用意する（DNSとホスト名を固め、複数台で複製する）
• ステップ4：既存のサーバーを参加させ、アクセスの規則を段階的に切り替える

つまずきやすいのはステップ3です。公式のクイックスタートガイドは、正しく設定されたDNSをFreeIPAの土台と位置づけ、DNSが正しくなければKerberosや暗号化の通信が期待どおりに動かないと説明しています。^*9 ホスト名も、変わると認証が壊れることがあるため固定にします。ADと連携する場合は、FreeIPAの名前の範囲をADと重ならないように決めます。

外部に頼むときに確認しておきたい点

FreeIPAはオープンソースのため、構築と運用の手間は自社で持ちます。認証の基盤は、止まると誰もサーバーに入れなくなる仕組みです。外部に頼むときは、次の点を見積もりの前に確かめておきます。

• どこまで頼むか：設計、サーバーの構築、既存サーバーの参加、運用の手順書のうち、どれを任せるか
• ADとの関係：信頼関係を結ぶか、利用者の情報を同期するか、連携しないか
• 切り替えの手順：HBACやsudoの規則を、誰の確認で、どの順番で切り替えるか
• 冗長化と復旧：FreeIPAサーバーを何台で複製するか。障害が起きたときにどう戻すか
• 更新の段取り：新しい版への更新を、誰が、いつ、検証環境で確かめてから行うか

特に更新の段取りは、決めないまま運用に入りやすい点です。公式の手順書によると、更新の間サーバーは保守の状態になって要求に応えず、更新した版を元に戻すことにも対応していません。^*10 社内のWebアプリへのログインをまとめる仕組みも検討している場合は、KeycloakでSSO認証基盤を外注構築も参考になります。

まとめ：FreeIPAで確かめておきたい3つの点

FreeIPAで社内の認証基盤を作るうえで、確かめておきたい点は3つに整理できます。第一に、対象のサーバーと利用者、Active Directoryとの連携の有無を最初に決めること。第二に、DNSとホスト名を固めて本番のサーバーを複数台で用意すること。第三に、HBACやsudoの規則は検証環境で試してから、段階的に切り替えることです。この3点を踏まえておけば、「規則を切り替えた途端に、誰もサーバーに入れなくなった」という事態を避けやすくなります。設計や移行の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：FreeIPA（GitHub）「README.md」（https://github.com/freeipa/freeipa）。出典：LinuxやUNIXのシステムの利用者の情報・認証・アクセス制御の一元管理、利点（同じ資格情報ですべてのマシンにアクセス、パスワード・SSH公開鍵・sudoの規則・アクセス制御の規則の一元管理）、Kerberosの信頼関係または利用者の同期によるADとの連携の記述を参照（2026年10月確認）
2. *2　参考：FreeIPA公式サイト（トップページ・About）（https://www.freeipa.org/page/About）。出典：389 Directory Server、MIT Kerberos、Dogtag、DNSなどの構成部品、Web画面とコマンドとAPIによる管理、マルチマスターの複製の記述を参照（2026年10月確認）
3. *3　参考：FreeIPA（GitHub）「COPYING」（https://github.com/freeipa/freeipa/blob/master/COPYING）。出典：ライセンス（GNU General Public License Version 3）を参照（2026年10月確認）
4. *4　参考：FreeIPA公式サイト「Downloads」（https://www.freeipa.org/page/Downloads）。出典：Linuxの配布版に含まれる検証済みの版を使う方法を勧める記述、Fedora・RHEL・CentOS・Debianのパッケージの案内を参照（2026年10月確認）
5. *5　参考：Microsoft Learn「Active Directory Domain Services の概要」（https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview）。出典：アカウント情報の格納と、1つのユーザー名とパスワードによるネットワーク上の資源へのアクセスの記述を参照。ADのKerberos認証は「Windows Server での Kerberos 認証の概要」も参照（2026年10月確認）
6. *6　参考：Microsoft Learn「Windows Serverのグループ ポリシーの概要」（https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/manage/group-policy/group-policy-overview）。出典：グループポリシーによるユーザーとコンピューターの設定の一元管理の記述を参照（2026年10月確認）
7. *7　参考：FreeIPA公式サイト「Trusts」（https://www.freeipa.org/page/Trusts）。出典：ADとの間接的な連携、ADからはIPAのドメインが別のフォレストに見えること、ADフォレストとDNSの範囲を重ねないことの記述を参照（2026年10月確認）
8. *8　参考：FreeIPA公式サイト「HBAC and allow_all」（https://www.freeipa.org/page/Howto/HBAC_and_allow_all）。出典：初期設定のallow_allの規則、止める前に既存サーバー向けの規則を作る手順、規則を試す確認用の機能の記述を参照（2026年10月確認）
9. *9　参考：FreeIPA公式サイト「Quick Start Guide」（https://www.freeipa.org/page/Quick_Start_Guide）。出典：対応するプラットフォーム（Fedora・RHEL）、まず仮想マシンで試すことの推奨、固定のホスト名とDNSの設定の重要性、公開デモとコンテナでの試用の記述を参照（2026年10月確認）
10. *10　参考：FreeIPA公式サイト「Upgrade」（https://www.freeipa.org/page/Upgrade）。出典：更新中はサーバーが保守の状態で要求に応えないこと、更新後の版を元に戻すことに対応していないことの記述を参照（2026年10月確認）

Tweet