Configuration des serveurs d'application réseau Kerberos

Les serveurs d'application réseau sont des hôtes fournissant un accès à l'aide d'une ou plusieurs applications réseau parmi les suivantes : ftp, rcp, rlogin, rsh, ssh et telnet. Seules quelques étapes sont nécessaires pour activer la version Kerberos de ces commandes sur un serveur.

Procédure de configuration d'un serveur d'application réseau Kerberos

Cette procédure utilise les paramètres de configuration ci-dessous :

Serveur d'application = boston
admin principal = kws/admin
Nom de domaine DNS = example.com
Nom de domaine = EXAMPLE.COM

Avant de commencer

Cette procédure nécessite que le KDC maître ait été configuré. Pour tester complètement le processus, plusieurs clients Kerberos doivent être configurés.

Connectez-vous en tant que superutilisateur au serveur
(Facultatif) Installez le client NTP ou un autre mécanisme de synchronisation d'horloge.
Pour plus d'informations sur le protocole NTP, reportez-vous à la section Synchronisation des horloges entre les KDC et les clients Kerberos.
Ajoutez des principaux pour le nouveau serveur et mettez à jour le fichier keytab du serveur.
La commande suivante indique l'existence de l'hôte principal :
```
boston # klist -k |grep host
4 host/boston.example.com@EXAMPLE.COM
4 host/boston.example.com@EXAMPLE.COM
4 host/boston.example.com@EXAMPLE.COM
4 host/boston.example.com@EXAMPLE.COM
```
Si la commande ne renvoie pas de principal, créez de nouveaux comptes utilisateur en suivant les étapes ci-dessous.
L'utilisation de l'outil d'administration graphique Kerberos pour ajouter un principal est expliquée à la section Procédure de création d'un principal Kerberos. L'exemple dans les étapes suivantes montre comment ajouter les principaux requis à l'aide de la ligne de commande. Vous devez vous connecter à l'aide de l'un des noms de principal admin que vous avez créé lors de la configuration du KDC maître.
```
boston # /usr/sbin/kadmin -p kws/admin
Enter password: <Type kws/admin password>
kadmin: 
```
1. Créez l'host principal du serveur.
  L'host principal est utilisé dans les cas suivants :
  - Pour authentifier le trafic lors de l'utilisation des commandes à distance, comme rsh et ssh.
  - Par pam_krb5 afin d'empêcher les attaques par mystification de KDC en utilisant l'host principal pour vérifier que les informations d'identification Kerberos d'un utilisateur ont été obtenues auprès d'un KDC de confiance.
  - Pour autoriser l'utilisateur root à acquérir automatiquement des informations d'identification Kerberos en l'absence d'un principal root. Cela peut être utile lors d'un montage NFS manuel où le partage requiert des informations d'identification Kerberos.
  Ce principal est obligatoire si le trafic qui utilise l'application distante doit être authentifié à l'aide du service Kerberos. Si le serveur a plusieurs noms d'hôte associés, créez un principal pour chaque nom d'hôte sous la forme de nom de domaine complet(FQDN) du nom d'hôte.
```
kadmin: addprinc -randkey host/boston.example.com
Principal "host/boston.example.com" created.
kadmin: 
```
2. Ajoutez l'host principal du serveur au fichier keytab du serveur.
  Si la commande kadmin n'est pas en cours d'exécution, redémarrez-la avec une commande similaire à la suivante : /usr/sbin/kadmin -p kws/admin
  Si le serveur a plusieurs noms d'hôte associés, ajoutez un principal au fichier keytab de chaque nom d'hôte.
```
kadmin: ktadd host/boston.example.com
Entry for principal host/boston.example.com with kvno 3, encryption type AES-256 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type AES-128 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type Triple DES cbc
          mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type ArcFour
          with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal host/boston.example.com with kvno 3, encryption type DES cbc mode
          with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
kadmin:
```
3. Quittez kadmin.
```
kadmin: quit
```

Procédure d'utilisation du service de sécurité générique avec Kerberos lors de l'exécution FTP

Le service de sécurité générique (GSS) peut être utilisé sur des applications pour faciliter l'utilisation de Kerberos pour l'authentification, l'intégrité et la confidentialité. Les étapes suivantes montrent comment activer le service GSS pour ProFTPD.

Connectez-vous en tant que superutilisateur au serveur FTP.
Ajoutez des principaux pour le serveur FTP et mettez à jour le fichier keytab du serveur.
Ces étapes ne sont peut-être pas nécessaires si les modifications ont été effectuées précédemment.
1. Démarrez la commande kadmin.
```
ftpserver1 # /usr/sbin/kadmin -p kws/admin
Enter password: <Type kws/admin password>
kadmin: 
```
2. Ajoutez l'hôte principal de service pour le serveur FTP.
```
kadmin: addprinc -randkey host/ftpserver1.example.com 
```
3. Ajoutez l'host principal de service au fichier keytab du serveur.
```
kadmin: ktadd host/ftpserver1.example.com 
```

Activez GSS pour le serveur FTP.

Apportez les modifications suivantes au fichier /etc/proftpd.conf .

# cat /etc/proftpd.conf
#User          ftp
#Group         ftp

User root
Group root

UseIPv6 off

LoadModule mod_gss.c

GSSEngine on
GSSKeytab /etc/krb5/krb5.keytab

Redémarrez le serveur FTP.
```
# svcadm restart network/ftp
```

Ignorer les liens de navigation
Quitter l'aperu
	Administration d'Oracle Solaris : services de sécurité Oracle Solaris 11 Information Library (Français)