Configuración de autenticación entre dominios

Existen varias maneras de enlazar dominios para que los usuarios de un dominio se puedan autenticar en otro dominio. La autenticación entre dominios se lleva a cabo mediante el establecimiento de una clave secreta que se comparte entre dos dominios. La relación de los dominios puede ser jerárquica o direccional (consulte Jerarquía de dominios).

Cómo establecer la autenticación entre dominios jerárquica

El ejemplo de este procedimiento utiliza dos dominios, ENG.EAST.EXAMPLE.COM y EAST.EXAMPLE.COM. La autenticación entre dominios se establecerá en ambas direcciones. Este procedimiento debe realizarse en el KDC maestro de ambos dominios.

Antes de empezar

El KDC maestro para cada dominio debe estar configurado. Para probar completamente el proceso de autenticación, varios clientes Kerberos deben estar configurados.

Debe asumir el rol root en ambos servidores KDC. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. Cree principales de servicio de ticket de otorgamiento de tickets para los dos dominios.

   Debe iniciar sesión con uno de los nombres de principales admin que creó cuando configuró el KDC maestro.

   # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM
   Enter password for principal krgtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM: <Type password>
   kadmin: addprinc krbtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
   Enter password for principal krgtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type password>
   kadmin: quit

   ---

   Nota - La contraseña que se ha especificado para cada principal de servicio debe ser idéntica en ambos KDC. Por lo tanto, la contraseña para el principal de servicio krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM debe ser la misma en ambos dominios.

   ---

2. Agregue entradas al archivo de configuración de Kerberos (krb5.conf) para definir nombres de dominio para cada dominio.

   # cat /etc/krb5/krb5.conf
   [libdefaults]
    .
    .
   [domain_realm]
           .eng.east.example.com = ENG.EAST.EXAMPLE.COM
           .east.example.com = EAST.EXAMPLE.COM

   En este ejemplo, se definen nombres de dominio para los dominios ENG.EAST.EXAMPLE.COM y EAST.EXAMPLE.COM. Es importante incluir el subdominio en primer lugar, puesto que el archivo se busca de arriba abajo.

3. Copie el archivo de configuración de Kerberos en todos los clientes de este dominio.

   Para que la autenticación entre dominios funcione, todos los sistemas (incluidos los KDC esclavos y otros servidores) deben tener instalada la nueva versión del archivo de configuración de Kerberos (/etc/krb5/krb5.conf).

4. Repita todos estos pasos en el segundo dominio.

Cómo establecer la autenticación entre dominios directa

El ejemplo de este procedimiento utiliza dos dominios, ENG.EAST.EXAMPLE.COM y SALES.WEST.EXAMPLE.COM. La autenticación entre dominios se establecerá en ambas direcciones. Este procedimiento debe realizarse en el KDC maestro de ambos dominios.

Antes de empezar

El KDC maestro para cada dominio debe estar configurado. Para probar completamente el proceso de autenticación, varios clientes Kerberos deben estar configurados.

Debe asumir el rol root en ambos servidores KDC. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. Cree principales de servicio de ticket de otorgamiento de tickets para los dos dominios.

   Debe iniciar sesión con uno de los nombres de principales admin que creó cuando configuró el KDC maestro.

   # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM
   Enter password for principal 
     krgtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM: <Type the password>
   kadmin: addprinc krbtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
   Enter password for principal 
     krgtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type the password>
   kadmin: quit

   ---

   Nota - La contraseña que se ha especificado para cada principal de servicio debe ser idéntica en ambos KDC. Por lo tanto, la contraseña para el principal de servicio krbtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM debe ser la misma en ambos dominios.

   ---

2. Agregue entradas en el archivo de configuración de Kerberos para definir la ruta directa al dominio remoto.

   En este ejemplo, se muestran los clientes en el dominio ENG.EAST.EXAMPLE.COM. Debe intercambiar los nombres de dominio para obtener las definiciones adecuadas en el dominio SALES.WEST.EXAMPLE.COM.

   # cat /etc/krb5/krb5.conf
   [libdefaults]
    .
    .
   [capaths]
       ENG.EAST.EXAMPLE.COM = {
           SALES.WEST.EXAMPLE.COM = .
       }
   
       SALES.WEST.EXAMPLE.COM = {
            ENG.EAST.EXAMPLE.COM = .
       }

3. Copie el archivo de configuración de Kerberos en todos los clientes del dominio actual.

   Para que la autenticación entre dominios funcione, todos los sistemas (incluidos los KDC esclavos y otros servidores) deben tener instalada la nueva versión del archivo de configuración de Kerberos (/etc/krb5/krb5.conf).

4. Repita todos estos pasos para el segundo dominio.