영역 간 인증 구성

한 영역의 사용자가 다른 영역에서 인증될 수 있도록 여러 가지 방법으로 영역을 연결할 수 있습니다. 영역 간 인증을 수행하려면 두 영역 간에 공유되는 보안 키를 설정합니다. 영역의 관계는 계층 관계 또는 방향 관계일 수 있습니다(영역 계층 구조 참조).

계층 영역 간 인증 설정 방법

이 절차의 예에서는 두 개의 영역(ENG.EAST.EXAMPLE.COM 및 EAST.EXAMPLE.COM)을 사용합니다. 영역 간 인증이 양방향에서 설정됩니다. 이 절차는 두 영역의 마스터 KDC에서 완료해야 합니다.

시작하기 전에

각 영역에 대한 마스터 KDC를 구성해야 합니다. 인증 프로세스를 완전히 테스트하려면 여러 Kerberos 클라이언트를 구성해야 합니다.

첫번째 마스터 KDC에서 수퍼유저로 로그인합니다.

두 영역에 대한 TGT(티켓 부여 티켓)서비스 주체를 만듭니다.

마스터 KDC를 구성할 때 만든 admin 주체 이름 중 하나로 로그인해야 합니다.

# /usr/sbin/kadmin -p kws/admin
Enter password: <Type kws/admin password>
kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM
Enter password for principal krgtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM: <Type password>
kadmin: addprinc krbtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
Enter password for principal krgtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type password>
kadmin: quit

주 - 각 서비스 주체에 대해 지정된 암호는 두 KDC에서 같아야 합니다. 따라서 서비스 주체 krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM에 대한 암호는 두 영역에서 동일해야 합니다.

Kerberos 구성 파일(krb5.conf )에 모든 영역에 대한 도메인 이름을 정의할 항목을 추가합니다.
```
# cat /etc/krb5/krb5.conf
[libdefaults]
 .
 .
[domain_realm]
        .eng.east.example.com = ENG.EAST.EXAMPLE.COM
        .east.example.com = EAST.EXAMPLE.COM
```
이 예에서는 ENG.EAST.EXAMPLE.COM 및 EAST.EXAMPLE.COM 영역에 대한 도메인 이름이 정의됩니다. 파일은 하향식으로 검색되므로 하위 도메인을 먼저 포함시켜야 합니다.
Kerberos 구성 파일을 이 영역의 모든 클라이언트에 복사합니다.
영역 간 인증이 작동하려면 모든 시스템(슬레이브 KDC 및 기타 서버 포함)에 Kerberos 구성 파일(/etc/krb5/krb5.conf)의 새 버전이 설치되어야 합니다.
두번째 영역에서 위 단계를 모두 반복합니다.

직접 영역 간 인증 설정 방법

이 절차의 예에서는 두 개의 영역(ENG.EAST.EXAMPLE.COM 및 SALES.WEST.EXAMPLE.COM)을 사용합니다. 영역 간 인증이 양방향에서 설정됩니다. 이 절차는 두 영역의 마스터 KDC에서 완료해야 합니다.

시작하기 전에

각 영역에 대한 마스터 KDC를 구성해야 합니다. 인증 프로세스를 완전히 테스트하려면 여러 Kerberos 클라이언트를 구성해야 합니다.

마스터 KDC 서버 중 하나에서 수퍼유저로 로그인합니다.

두 영역에 대한 TGT(티켓 부여 티켓)서비스 주체를 만듭니다.

마스터 KDC를 구성할 때 만든 admin 주체 이름 중 하나로 로그인해야 합니다.

# /usr/sbin/kadmin -p kws/admin
Enter password: <Type kws/admin password>
kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM
Enter password for principal 
  krgtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM: <Type the password>
kadmin: addprinc krbtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
Enter password for principal 
  krgtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type the password>
kadmin: quit

주 - 각 서비스 주체에 대해 지정된 암호는 두 KDC에서 같아야 합니다. 따라서 서비스 주체 krbtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM에 대한 암호는 두 영역에서 동일해야 합니다.

Kerberos 구성 파일에서 원격 영역에 대한 직접 경로를 정의할 항목을 추가합니다.
이 예에서는 ENG.EAST.EXAMPLE.COM 영역의 클라이언트를 보여 줍니다. SALES.WEST.EXAMPLE.COM 영역의 적절한 정의를 가져오려면 영역 이름을 교체해야 합니다.
```
# cat /etc/krb5/krb5.conf
[libdefaults]
 .
 .
[capaths]
    ENG.EAST.EXAMPLE.COM = {
        SALES.WEST.EXAMPLE.COM = .
    }

    SALES.WEST.EXAMPLE.COM = {
         ENG.EAST.EXAMPLE.COM = .
    }
```
Kerberos 구성 파일을 현재 영역의 모든 클라이언트에 복사합니다.
영역 간 인증이 작동하려면 모든 시스템(슬레이브 KDC 및 기타 서버 포함)에 Kerberos 구성 파일(/etc/krb5/krb5.conf)의 새 버전이 설치되어야 합니다.
두번째 영역에 대해 위 단계를 모두 반복합니다.

탐색 링크 건너뛰기
인쇄 보기 종료
	Oracle Solaris 관리: 보안 서비스 Oracle Solaris 11 Information Library (한국어)