Configuration des serveurs d'application réseau Kerberos

Les serveurs d'application réseau sont des hôtes fournissant un accès à l'aide d'une ou plusieurs applications réseau parmi les suivantes : ftp, rcp, rlogin, rsh, ssh et telnet. Seules quelques étapes sont nécessaires pour activer la version Kerberos de ces commandes sur un serveur.

Configuration d'un serveur d'application réseau Kerberos

Cette procédure utilise les paramètres de configuration ci-dessous :

• Serveur d'application = boston

• admin principal = kws/admin

• Nom de domaine DNS = example.com

• Nom de domaine = EXAMPLE.COM

Avant de commencer

Cette procédure nécessite que le KDC maître ait été configuré. Pour tester complètement le processus, plusieurs clients Kerberos doivent être configurés.

Vous devez prendre le rôle root sur le serveur d'application. Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d'administration.

1. (Facultatif) Installez le client NTP ou un autre mécanisme de synchronisation d'horloge.

   Pour plus d'informations sur le protocole NTP, reportez-vous à la section Synchronisation des horloges entre les KDC et les clients Kerberos.

2. Ajoutez des principaux pour le nouveau serveur et mettez à jour le fichier keytab du serveur.

   La commande suivante indique l'existence de l'hôte principal :

   boston # klist -k |grep host
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM

   Si la commande ne renvoie pas de principal, créez de nouveaux comptes utilisateur en suivant les étapes ci-dessous.

   L'utilisation de l'outil d'administration graphique Kerberos pour ajouter un principal est expliquée à la section Création d'un principal Kerberos. L'exemple dans les étapes suivantes montre comment ajouter les principaux requis à l'aide de la ligne de commande. Vous devez vous connecter à l'aide de l'un des noms de principal admin que vous avez créé lors de la configuration du KDC maître.

   boston # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: 

   1. Créez l'host principal du serveur.

      L'host principal est utilisé dans les cas suivants :

      • Pour authentifier le trafic lors de l'utilisation des commandes à distance, comme rsh et ssh.

      • Par pam_krb5 afin d'empêcher les attaques par mystification de KDC en utilisant l'host principal pour vérifier que les informations d'identification Kerberos d'un utilisateur ont été obtenues auprès d'un KDC de confiance.

      • Pour autoriser l'utilisateur root à acquérir automatiquement des informations d'identification Kerberos en l'absence d'un principal root. Cela peut être utile lors d'un montage NFS manuel où le partage requiert des informations d'identification Kerberos.

      Ce principal est obligatoire si le trafic qui utilise l'application distante doit être authentifié à l'aide du service Kerberos. Si le serveur a plusieurs noms d'hôte associés, créez un principal pour chaque nom d'hôte sous la forme de nom de domaine complet(FQDN) du nom d'hôte.

      kadmin: addprinc -randkey host/boston.example.com
      Principal "host/boston.example.com" created.
      kadmin: 

   2. Ajoutez l'host principal du serveur au fichier keytab du serveur.

      Si la commande kadmin n'est pas en cours d'exécution, redémarrez-la avec une commande similaire à la suivante : /usr/sbin/kadmin -p kws/admin

      Si le serveur a plusieurs noms d'hôte associés, ajoutez un principal au fichier keytab de chaque nom d'hôte.

      kadmin: ktadd host/boston.example.com
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-256 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-128 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type Triple DES cbc
                mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type ArcFour
                with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type DES cbc mode
                with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      kadmin:

   3. Quittez kadmin.

      kadmin: quit

Utilisation du service de sécurité générique avec Kerberos lors de l'exécution FTP

Le service de sécurité générique (GSS) peut être utilisé sur des applications pour faciliter l'utilisation de Kerberos pour l'authentification, l'intégrité et la confidentialité. Les étapes suivantes montrent comment activer le service GSS pour ProFTPD.

Avant de commencer

Vous devez prendre le rôle root sur le serveur FTP. Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d'administration.

1. Ajoutez des principaux pour le serveur FTP et créez le fichier keytab du serveur FTP.

   Ces étapes ne sont peut-être pas nécessaires si les modifications ont été effectuées précédemment.

   1. Démarrez la commande kadmin.

      ftpserver1 # /usr/sbin/kadmin -p kws/admin
      Enter password: <Type kws/admin password>
      kadmin: 

   2. Ajoutez le principal de service ftp pour le serveur FTP.

      kadmin: ank -randkey ftp/ftpserver1.example.com 

   3. Ajoutez le principal de service ftp à un nouveau fichier keytab.

      La création d'un fichier keytab permet à ces informations d'être disponibles pour le service ftp, sans exposer l'ensemble des informations du fichier keytab sur le serveur.

      kadmin: ktadd -k /etc/krb5/ftp.keytab ftp/ftpserver1.example.com 

2. Modifiez la propriété du nouveau fichier keytab.

   ftpserver1 # chown ftp:ftp /etc/krb5/ftp.keytab

3. Activez GSS pour le serveur FTP.

   Apportez les modifications suivantes au fichier /etc/proftpd.conf .

   # cat /etc/proftpd.conf
   LoadModule     mod_gss.c
   
   GSSEngine      on
   GSSKeytab      /etc/krb5/ftp.keytab

4. Redémarrez le serveur FTP.

   # svcadm restart network/ftp