마스터 KDC와 슬레이브 KDC 교체

마스터 KDC와 슬레이브 KDC를 간편하게 교체하려면 이 절의 절차를 사용해야 합니다. 마스터 KDC 서버가 특정 이유로 실패한 경우 또는 새 하드웨어 설치 등으로 인해 마스터 KDC를 다시 설치해야 하는 경우에만 마스터 KDC와 슬레이브 KDC를 교체해야 합니다.

교체 가능한 슬레이브 KDC 구성 방법

마스터 KDC로 사용할 수 있도록 설정하려는 슬레이브 KDC에서 이 절차를 수행하십시오. 이 절차에서는 증분 전파를 사용 중인 것으로 간주합니다.

시작하기 전에

root 역할을 맡아야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.

KDC 설치 중 마스터 KDC 및 교체 가능한 슬레이브 KDC에 대한 별칭 이름을 사용합니다.
KDC에 대한 호스트 이름을 정의하는 경우 각 시스템의 DNS에 별칭이 포함되어 있는지 확인합니다. /etc/krb5/krb5.conf 파일에서 호스트를 정의하는 경우에도 별칭 이름을 사용합니다.
슬레이브 KDC 설치 단계를 따릅니다.
교체에 앞서 이 서버가 영역의 기타 모든 슬레이브 KDC로 작동해야 합니다. 지침은 수동으로 슬레이브 KDC를 구성하는 방법을 참조하십시오.
마스터 KDC 명령을 이동합니다.
마스터 KDC 명령이 이 슬레이브 KDC에서 실행되지 않도록 하려면 kprop, kadmind 및 kadmin.local 명령을 예약된 위치로 이동합니다.
```
kdc4 # mv /usr/lib/krb5/kprop /usr/lib/krb5/kprop.save
kdc4 # mv /usr/lib/krb5/kadmind /usr/lib/krb5/kadmind.save
kdc4 # mv /usr/sbin/kadmin.local /usr/sbin/kadmin.local.save
```

마스터 KDC와 슬레이브 KDC 교체 방법

이 절차에서 교체하려는 마스터 KDC 서버의 이름은 kdc1이며, 새 마스터 KDC가 될 슬레이브 KDC의 이름은 kdc4입니다. 이 절차에서는 증분 전파를 사용 중인 것으로 간주합니다.

시작하기 전에

이 절차를 수행하려면 슬레이브 KDC 서버가 교체 가능한 슬레이브로 설정되어 있어야 합니다. 자세한 내용은 교체 가능한 슬레이브 KDC 구성 방법을 참조하십시오.

root 역할을 맡아야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.

새 마스터 KDC에서 kadmin을 시작합니다.

kdc4 # /usr/sbin/kadmin -p kws/admin
Enter password: <Type kws/admin password>
kadmin:

kadmind 서비스에 대한 새 주체를 만듭니다.

다음 예에서는 두 행의 첫번째 addprinc 명령을 보여 주지만 명령은 한 행에만 입력되어야 합니다.

kadmin: addprinc -randkey -allow_tgs_req +password_changing_service -clearpolicy \
       changepw/kdc4.example.com
Principal "changepw/kdc4.example.com@ENG.SUN.COM" created.
kadmin: addprinc -randkey -allow_tgs_req -clearpolicy kadmin/kdc4.example.com
Principal "kadmin/kdc4.example.com@EXAMPLE.COM" created.
kadmin:

kadmin을 종료합니다.
```
kadmin: quit
```

새 마스터 KDC에서 강제로 동기화를 수행합니다.
다음 단계에서는 슬레이브 서버에서 강제로 전체 KDC 업데이트를 수행합니다.
```
kdc4 # svcadm disable network/security/krb5kdc
kdc4 # rm /var/krb5/principal.ulog
```
새 마스터 KDC에서 업데이트가 완료되었는지 확인합니다.
```
kdc4 # /usr/sbin/kproplog -h
```
새 마스터 KDC에서 KDC 서비스를 다시 시작합니다.
```
kdc4 # svcadm enable -r network/security/krb5kdc
```
새 마스터 KDC에서 업데이트 로그를 지웁니다.
이러한 단계는 새 마스터 KDC 서버에 대한 업데이트 로그를 다시 초기화합니다.
```
kdc4 # svcadm disable network/security/krb5kdc
kdc4 # rm /var/krb5/principal.ulog
```
이전 마스터 KDC에서 kadmind 및 krb5kdc 프로세스를 강제 종료합니다.
kadmind 프로세스를 강제 종료할 경우 변경 사항이 KDC 데이터베이스에 적용되지 않습니다.
```
kdc1 # svcadm disable network/security/kadmin
kdc1 # svcadm disable network/security/krb5kdc
```

이전 마스터 KDC에서 전파 요청 폴링 시간을 지정합니다.

/etc/krb5/kdc.conf에서 sunw_dbprop_master_ulogsize 항목을 주석 처리하고 sunw_dbprop_slave_poll을 정의하는 항목을 추가합니다. 이 항목은 폴링 시간을 2분으로 설정합니다.

kdc1 # cat /etc/krb5/kdc.conf
[kdcdefaults]
        kdc_ports = 88,750

[realms]
        EXAMPLE.COM= {
                profile = /etc/krb5/krb5.conf
                database_name = /var/krb5/principal
                acl_file = /etc/krb5/kadm5.acl
                kadmind_port = 749
                max_life = 8h 0m 0s
                max_renewable_life = 7d 0h 0m 0s
                sunw_dbprop_enable = true
#               sunw_dbprop_master_ulogsize = 1000
                sunw_dbprop_slave_poll = 2m
        }

이전 마스터 KDC에서 마스터 KDC 명령 및 kadm5.acl 파일을 이동합니다.

마스터 KDC 명령이 실행되지 않도록 하려면 kprop, kadmind 및 kadmin.local 명령을 예약된 위치로 이동합니다.

kdc1 # mv /usr/lib/krb5/kprop /usr/lib/krb5/kprop.save
kdc1 # mv /usr/lib/krb5/kadmind /usr/lib/krb5/kadmind.save
kdc1 # mv /usr/sbin/kadmin.local /usr/sbin/kadmin.local.save
kdc1 # mv /etc/krb5/kadm5.acl /etc/krb5/kadm5.acl.save

DNS 서버에서 마스터 KDC에 대한 별칭 이름을 변경합니다.
서버를 변경하려면 example.com 영역 파일을 편집하고 masterkdc에 대한 항목을 변경합니다.
```
masterkdc IN CNAME kdc4
```
DNS 서버에서 인터넷 도메인 이름 서버를 다시 시작합니다.
다음 명령을 실행하여 새 별칭 정보를 재로드합니다.
```
# svcadm refresh network/dns/server
```

새 마스터 KDC에서 마스터 KDC 명령 및 슬레이브 kpropd.acl 파일을 이동합니다.

kdc4 # mv /usr/lib/krb5/kprop.save /usr/lib/krb5/kprop
kdc4 # mv /usr/lib/krb5/kadmind.save /usr/lib/krb5/kadmind
kdc4 # mv /usr/sbin/kadmin.local.save /usr/sbin/kadmin.local
kdc4 # mv /etc/krb5/kpropd.acl /etc/krb5/kpropd.acl.save

새 마스터 KDC에서 Kerberos 액세스 제어 목록 파일(kadm5.acl)을 만듭니다.
채워진 /etc/krb5/kadm5.acl 파일에는 KDC를 관리할 수 있도록 허용된 모든 주체 이름이 포함되어야 합니다. 또한 파일은 증분 전파에 대한 요청을 생성하는 슬레이브를 모두 나열해야 합니다. 자세한 내용은 kadm5.acl(4) 매뉴얼 페이지를 참조하십시오.
```
kdc4 # cat /etc/krb5/kadm5.acl
kws/admin@EXAMPLE.COM   *
kiprop/kdc1.example.com@EXAMPLE.COM p
```

새 마스터 KDC에서 kdc.conf 파일에 업데이트 로그 크기를 지정합니다.

sunw_dbprop_slave_poll 항목을 주석 처리하고 sunw_dbprop_master_ulogsize를 정의하는 항목을 추가합니다. 항목은 로그 크기를 1000개 항목으로 설정합니다.

kdc1 # cat /etc/krb5/kdc.conf
[kdcdefaults]
        kdc_ports = 88,750

[realms]
        EXAMPLE.COM= {
                profile = /etc/krb5/krb5.conf
                database_name = /var/krb5/principal
                acl_file = /etc/krb5/kadm5.acl
                kadmind_port = 749
                max_life = 8h 0m 0s
                max_renewable_life = 7d 0h 0m 0s
                sunw_dbprop_enable = true
#               sunw_dbprop_slave_poll = 2m
                sunw_dbprop_master_ulogsize = 1000
        }

새 마스터 KDC에서 kadmind 및 krb5kdc를 시작합니다.

kdc4 # svcadm enable -r network/security/krb5kdc
kdc4 # svcadm enable -r network/security/kadmin

이전 마스터 KDC에서 kiprop 서비스 주체를 추가합니다.

krb5.keytab 파일에 kiprop 주체를 추가하면 증분 전파 서비스에 대해 kpropd 데몬이 자체적으로 인증할 수 있습니다.

kdc1 # /usr/sbin/kadmin -p kws/admin
Authenticating as pricipal kws/admin@EXAMPLE.COM with password.
Enter password: <Type kws/admin password>
kadmin: ktadd kiprop/kdc1.example.com
Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type AES-256 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type AES-128 CTS mode
          with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type Triple DES cbc
          mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type ArcFour
          with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type DES cbc mode
          with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
kadmin: quit

이전 마스터 KDC에서 krb5.conf에 나열된 각 KDC의 항목을 전파 구성 파일 kpropd.acl에 추가합니다.

kdc1 # cat /etc/krb5/kpropd.acl
host/kdc1.example.com@EXAMPLE.COM
host/kdc2.example.com@EXAMPLE.COM
host/kdc3.example.com@EXAMPLE.COM
host/kdc4.example.com@EXAMPLE.COM

이전 마스터 KDC에서 kpropd 및 krb5kdc를 시작합니다.

kdc1 # svcadm enable -r network/security/krb5_prop
kdc1 # svcadm enable -r network/security/krb5kdc

탐색 링크 건너뛰기
인쇄 보기 종료
	Oracle Solaris 11.1 관리: 보안 서비스 Oracle Solaris 11.1 Information Library (한국어)