Gestión de un KDC en un servidor de directorios LDAP

La mayoría de las tareas de administración del KDC que usan un servidor de directorios LDAP son las mismas que las tareas para el servidor DB2. Hay algunas tareas nuevas que son específicas para trabajar con LDAP.

Tabla 21-3 Configuración de servidores KDC para utilizar LDAP (mapa de tareas)

Cómo mezclar atributos de principales de Kerberos en un tipo de clase de objeto que no es de Kerberos

Este procedimiento permite que los atributos de principales de Kerberos se asocien con tipos de clases de objeto que no son de Kerberos. En este procedimiento, los atributos krbprincipalaux, krbTicketPolicyAux y krbPrincipalName están asociados con la clase de objeto de personas.

En este procedimiento, se utilizan los siguientes parámetros de configuración:

• Servidor de directorios = dsserver.example.com

• Principal de usuario = willf@EXAMPLE.COM

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. Prepare cada entrada en la clase de objeto de personas.

   Repita este paso para cada entrada.

   cat << EOF | ldapmodify -h dsserver.example.com -D "cn=directory manager"
   dn: uid=willf,ou=people,dc=example,dc=com
   changetype: modify
   objectClass: krbprincipalaux
   objectClass: krbTicketPolicyAux
   krbPrincipalName: willf@EXAMPLE.COM
   EOF

2. Agregue un atributo de subárbol al contenedor del dominio.

   Este paso permite buscar entradas de principales en el contenedor ou=people,dc=example,dc=com, así como en el contenedor EXAMPLE.COM predeterminado.

   # kdb5_ldap_util -D "cn=directory manager" modify \
               -subtrees 'ou=people,dc=example,dc=com' -r EXAMPLE.COM

3. (Opcional) Si los registros del KDC están almacenados en DB2, migre las entradas de DB2.
   1. Vuelque las entradas de DB2.

      # kdb5_util dump > dumpfile

   2. Cargue la base de datos en el servidor LDAP.

      # kdb5_util load -update dumpfile

4. (Opcional) Agregue los atributos de los principales al KDC.

   # kadmin.local -q 'addprinc willf'

Cómo destruir un dominio en un servidor de directorios LDAP

Este procedimiento se puede utilizar si un servidor de directorios LDAP distinto se ha configurado para manejar un dominio.

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

• Destruya el dominio.

  # kdb5_ldap_util -D "cn=directory manager" destroy