Administration des fichiers keytab

Tous les hôtes qui fournissent un service doivent disposer d'un fichier local, appelé un keytab (abréviation de « key table » (table des clés). Le fichier keytab contient le principal pour le service approprié, appelé clé de service. Une clé de service est utilisée par un service pour s'authentifier auprès du KDC et est uniquement connue de Kerberos et du service lui-même. Par exemple, si vous avez un serveur NFS utilisant Kerberos, le serveur doit avoir un fichier keytab qui contient son principal de service nfs.

Pour ajouter une clé de service à un fichier keytab, vous ajoutez le principal de service approprié à un fichier keytab de l'hôte à l'aide de la commande ktadd de kadmin. Comme vous êtes en train d'ajouter un principal de service à un fichier keytab, le principal doit exister dans la base de données Kerberos afin que kadmin puisse vérifier son existence. Sur le KDC maître, le fichier keytab est situé sous /etc/krb5/kadm5.keytab, par défaut. Sur les serveurs d'applications qui fournissent des services utilisant Kerberos, le fichier keytab est situé à /etc/krb5/krb5.keytab, par défaut.

Un fichier keytab est comparable à un mot de passe d'utilisateur. Tout comme il est important pour les utilisateurs de protéger leurs mots de passe, il est tout aussi important pour les serveurs d'applications de protéger leurs fichiers keytab. Vous devez toujours stocker les fichiers keytab sur un disque local et les rendre lisibles uniquement par l'utilisateur root. En outre, vous ne devez jamais envoyer un fichier keytab par le biais d'un réseau non sécurisé.

Il existe également une instance spéciale dans laquelle ajouter un principal root au fichier keytab d'un hôte. Si vous souhaitez qu'un utilisateur sur le client Kerberos monte des systèmes de fichiers NFS utilisant Kerberos, qui nécessitent un accès équivalent au root, vous devez ajouter le principal root du client à son fichier keytab. Dans le cas contraire, les utilisateurs doivent utiliser la commande kinit en tant que root pour obtenir des informations d'identification pour le principal root du client lorsqu'ils souhaitent monter un système de fichiers NFS utilisant Kerberos avec accès root, même lorsqu'ils utilisent l'agent de montage automatique.

Une autre commande que vous pouvez utiliser pour administrer les fichiers keytab est la commande ktutil. Cette commande interactive vous permet de gérer le fichier keytab d'un hôte local sans disposer de privilèges d'administration Kerberos, car ktutil n'interagit pas avec la base de données Kerberos comme le fait kadmin. Par conséquent, après l'ajout d'un principal à un fichier keytab, vous pouvez utilisez ktutil pour visualiser la liste de clés dans le fichier keytab ou pour désactiver temporairement l'authentification d'un service.

Administration des fichiers keytab (liste des tâches)

Ajout d'un principal de service Kerberos à un fichier keytab

1. Assurez-vous que le principal existe déjà dans la base de données Kerberos.

   Pour plus d'informations, reportez-vous à la section Affichage de la liste des principaux Kerberos.

2. Connectez-vous en tant que superutilisateur à l'hôte qui a besoin qu'un principal soit ajouté à son fichier keytab.
3. Démarrez la commande kadmin.

   # /usr/sbin/kadmin

4. Ajoutez un principal à un fichier keytab en utilisant la commande ktadd.

   kadmin: ktadd [-e enctype] [-k keytab] [-q] [principal | -glob principal-exp]

   -e enctype

   Ignore la liste des types de chiffrement définie dans le fichier krb5.conf.

   -k keytab

   Spécifie le fichier keytab. Par défaut, /etc/krb5/krb5.keytab est utilisé.

   -q

   Affiche des informations moins détaillées.

   principal

   Spécifie le principal à ajouter au fichier keytab. Vous pouvez ajouter les principaux de service suivants : host, root, nfs et ftp.

   -glob principal-exp

   Spécifie les expressions de principal. Tous les principaux qui correspondent à principal-exp sont ajoutés au fichier keytab. Les règles qui régissent l'expression de principal sont les mêmes que pour la commande list_principals de kadmin.

5. Quittez la commande kadmin.

   kadmin: quit

Exemple 25-16 Ajout d'un principal de service dans un fichier keytab

Dans l'exemple suivant, les principaux kadmin/kdc1.example.com et changepw/kdc1.example.com sont ajoutés à un fichier keytab de KDC maître. Dans cet exemple, le fichier keytab doit être le fichier spécifié dans le fichier kdc.conf.

kdc1 # /usr/sbin/kadmin.local
kadmin.local: ktadd -k /etc/krb5/kadm5.keytab kadmin/kdc1.example.com changepw/kdc1.example.com
Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type AES-256 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type AES-128 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type Triple DES cbc
          mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type ArcFour
          with HMAC/md5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type DES cbc mode
          with RSA-MD5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal changepw/kdc1.example.com with kvno 3, encryption type AES-256 CTS
          mode with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal changepw/kdc1.example.com with kvno 3, encryption type AES-128 CTS
          mode with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal changepw/kdc1.example.com with kvno 3, encryption type Triple DES cbc
          mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal changepw/kdc1.example.com with kvno 3, encryption type ArcFour
          with HMAC/md5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.
Entry for principal changepw/kdc1.example.com with kvno 3, encryption type DES cbc mode
          with RSA-MD5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.
kadmin.local: quit

Dans l'exemple suivant, le principal d'host de denver est ajouté au fichier keytab de denver de sorte que le KDC peut authentifier les services de réseau de denver.

denver # /usr/sbin/kadmin
kadmin: ktadd host/denver.example.com
Entry for principal host/denver.example.com with kvno 3, encryption type AES-256 CTS
          mode with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/denver.example.com with kvno 3, encryption type AES-128 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/denver.example.com with kvno 3, encryption type Triple DES cbc mode
          with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/denver.example.com with kvno 3, encryption type ArcFour
          with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/denver.example.com with kvno 3, encryption type DES cbc mode
          with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
kadmin: quit

Suppression d'un principal de service d'un fichier keytab

1. Connectez-vous en tant que superutilisateur sur l'hôte avec un principal de service qui doit être supprimé de son fichier keytab.
2. Démarrez la commande kadmin.

   # /usr/sbin/kadmin

3. (Facultatif) Pour afficher la liste actuelle des principaux (clés) dans le fichier keytab, utilisez la commande ktutil.

   Pour obtenir des instructions détaillées, reportez-vous à la section Affichage de la liste de clés (principaux) dans un fichier keytab.

4. Supprimez une identité du fichier keytab à l'aide de la commande ktremove commande.

   kadmin: ktremove [-k keytab] [-q] principal [kvno | all | old ]

   -k keytab

   Spécifie le fichier keytab. Par défaut, /etc/krb5/krb5.keytab est utilisé.

   -q

   Affiche des informations moins détaillées.

   principal

   Spécifie le principal à supprimer du fichier keytab.

   kvno

   Supprime toutes les entrées pour le principal spécifié dont le numéro de version de clé correspond à kvno.

   all

   Supprime toutes les entrées pour le principal spécifié.

   old

   Supprime toutes les entrées pour le principal spécifié, à l'exception des principaux avec les numéros de version de clé les plus élevés.

5. Quittez la commande kadmin.

   kadmin: quit

Exemple 25-17 Suppression d'un principal de service d'un fichier keytab.

Dans l'exemple suivant, le principal d'host de denver est supprimé du fichier keytab de denver.

denver # /usr/sbin/kadmin
kadmin: ktremove host/denver.example.com@EXAMPLE.COM
kadmin: Entry for principal host/denver.example.com@EXAMPLE.COM with kvno 3
  removed from keytab WRFILE:/etc/krb5/krb5.keytab.
kadmin: quit

Affichage de la liste de clés (principaux) dans un fichier keytab

1. Connectez-vous en tant que superutilisateur sur l'hôte avec le fichier keytab.

   ---

   Remarque - Bien qu'il soit possible de créer des fichiers keytab qui sont détenus par d'autres utilisateurs, l'utilisation de l'emplacement par défaut pour le fichier keytab requiert la propriété root.

   ---

2. Démarrez la commande ktutil.

   # /usr/bin/ktutil

3. Lisez le fichier keytab dans le tampon de la liste de clés à l'aide de la commande read_kt.

   ktutil: read_kt keytab

4. Affichez le tampon de la liste de clés en utilisant la commande list.

   ktutil: list

   Le tampon de la liste de clés actuel s'affiche.

5. Quittez la commande ktutil.

   ktutil: quit

Exemple 25-18 Affichage de la liste de clés (principaux) dans un fichier keytab

L'exemple suivant affiche la liste de clés dans le fichier /etc/krb5/krb5.keytab sur l'hôte denver hôte.

denver # /usr/bin/ktutil
    ktutil: read_kt /etc/krb5/krb5.keytab
    ktutil: list
slot KVNO Principal
---- ---- ---------------------------------------
   1    5 host/denver@EXAMPLE.COM
    ktutil: quit

Désactivation temporaire de l'authentification d'un service sur un hôte

Parfois, il peut s'avérer nécessaire de désactiver temporairement le mécanisme d'authentification d'un service, tel que rlogin ou ftp , sur un serveur d'applications réseau. Par exemple, si vous le souhaitez, vous pouvez empêcher les utilisateurs de se connecter à un système pendant que vous êtes en train d'effectuer des procédures de maintenance. La commande ktutil permet d'accomplir cette tâche en supprimant le principal de service à partir du fichier keytab du serveur, sans nécessiter de privilèges kadmin. Pour réactiver l'authentification, il vous suffit de copier le fichier keytab d'origine que vous avez enregistré jusqu'à son emplacement d'origine.

1. Connectez-vous en tant que superutilisateur sur l'hôte avec le fichier keytab.

   ---

   Remarque - Bien qu'il soit possible de créer des fichiers keytab qui sont détenus par d'autres utilisateurs, l'utilisation de l'emplacement par défaut pour le fichier keytab requiert la propriété root.

   ---

2. Enregistrez le fichier keytab actuel dans un fichier temporaire.
3. Démarrez la commande ktutil.

   # /usr/bin/ktutil

4. Lisez le fichier keytab dans le tampon de la liste de clés à l'aide de la commande read_kt.

   ktutil: read_kt keytab

5. Affichez le tampon de la liste de clés en utilisant la commande list.

   ktutil: list

   Le tampon de la liste de clés actuel s'affiche. Notez le numéro d'emplacement du service que vous voulez désactiver.

6. Pour désactiver temporairement un service d'hôte, supprimez le principal de service du tampon de la liste de clés à l'aide de la commande delete_entry.

   ktutil: delete_entry slot-number

   Où slot-number indique le numéro d'emplacement du principal de service à supprimer, ce qui est affiché par la commande list.

7. Écrivez le tampon de la liste de clés sur un nouveau fichier keytab à l'aide de la commande write_kt.

   ktutil: write_kt new-keytab

8. Quittez la commande ktutil.

   ktutil: quit

9. Déplacez le nouveau fichier keytab.

   # mv new-keytab keytab

10. Lorsque vous souhaitez réactiver le service, copiez le fichier keytab temporaire (d'origine) vers son emplacement d'origine.

Exemple 25-19 Désactivation temporaire d'un service sur un hôte

Dans l'exemple suivant, le service host sur l'hôte denver est temporairement désactivé. Pour réactiver le service d'hôte sur denver, vous devez copier le fichier krb5.keytab.temp vers le fichier /etc/krb5/krb5.keytab .

denver # cp /etc/krb5/krb5.keytab /etc/krb5/krb5.keytab.temp
denver # /usr/bin/ktutil
    ktutil:read_kt /etc/krb5/krb5.keytab
    ktutil:list
slot KVNO Principal
---- ---- ---------------------------------------
   1    8 root/denver@EXAMPLE.COM
   2    5 host/denver@EXAMPLE.COM
    ktutil:delete_entry 2
    ktutil:list
slot KVNO Principal
---- ---- --------------------------------------
   1    8 root/denver@EXAMPLE.COM
    ktutil:write_kt /etc/krb5/new.krb5.keytab
    ktutil: quit
denver # cp /etc/krb5/new.krb5.keytab /etc/krb5/krb5.keytab