SEAM Tool 参考
本节介绍了 SEAM Tool 中的各个面板。此外，还提供了有关以受限特权使用 SEAM Tool 的信息。
SEAM Tool 面板说明
本节提供可在 SEAM Tool 中指定或查看的每个主体和策略属性的说明。这些属性按显示它们的面板进行组织。
表 23-2 SEAM Tool 的 "Principal Basics"（主体基本信息）面板中的属性
|
|
|---|
Principal Name（主体名称） |
主体的名称（全限定主体名称的 primary/ instance 部分）。主体是 KDC 可以为其分配票证的唯一标识。 修改主体时不能编辑其名称。 |
Password（口令） |
主体的口令。可使用 "Generate Random Password"（生成随机口令）按钮为主体创建随机口令。 |
Policy（策略） |
主体的可用策略菜单。 |
Account
Expires（帐户过期） |
主体帐户的过期日期和时间。帐户过期后，主体就无法再获取票证授予票证 (ticket-granting ticket, TGT)，并且可能无法登录。 |
Last Principal Change（上次主体更改） |
上次修改主体信息的日期。（只读） |
Last Changed By（上次更改者） |
上次修改此主体帐户的主体的名称。（只读） |
Comments（注释） |
与主体有关的注释（如“临时帐户”）。 |
|
表 23-3 SEAM Tool 的 "Principal Details"（主体详细信息）面板中的属性
|
|
|---|
Last Success（上次成功） |
主体上次登录成功的日期和时间。（只读） |
Last Failure（上次失败） |
主体上次登录失败的日期和时间。（只读） |
Failure Count（失败计数） |
主体登录失败的次数。（只读） |
Last
Password Change（上次口令更改） |
上次更改主体口令的日期和时间。（只读） |
Password Expires（口令过期） |
主体当前口令过期的日期和时间。 |
Key Version（密钥版本） |
主体的密钥版本号。通常，只有在口令已泄漏的情况下才会更改此属性。 |
Maximum Lifetime (seconds)（最长生命周期（秒）） |
可将票证授予主体的最长时间（不更新）。 |
Maximum Renewal (seconds)（最长更新期（秒）） |
主体可更新现有票证的最长时间。 |
|
表 23-4 SEAM Tool 的 "Principal Flags"（主体标志）面板中的属性
|
|
|---|
Disable Account（禁用帐户） |
选中此项后，将禁止主体登录。此属性提供了一种临时冻结主体帐户的简便方法。 |
Require Password Change（要求口令更改） |
选中此项后，将使主体的当前口令失效，这将会强制用户使用 kpasswd
命令来创建新口令。如果发生安全违规，并且需要确保替换旧口令，则此属性很有用。 |
Allow Postdated Tickets（允许以后生效的票证） |
选中此项后，将允许主体获取以后生效的票证。 例如，如果 cron 作业必须在几小时后运行，但您又因为票证的生命周期不够长而无法提前获取票证，则可能需要对其使用以后生效的票证。 |
Allow Forwardable Tickets（允许可转发票证） |
选中此项后，将允许主体获取可转发的票证。 可转发票证是可转发至远程主机以提供单点登录会话的票证。例如，如果使用可转发的票证并且通过 ftp 或 rsh 进行自我验证，则可使用其他服务（如
NFS 服务），而不会提示您输入其他口令。 |
Allow Renewable Tickets（允许可更新票证） |
选中此项后，将允许主体获取可更新的票证。 主体可以自动延长可更新票证的失效日期或时间，而不必在票证首次过期后获取新的票证。目前，NFS 服务是可以更新票证的票证服务。 |
Allow Proxiable Tickets（允许可代理票证） |
选中此项后，将允许主体获取可代理的票证。 可代理票证是可被服务以客户机名义执行客户机操作时使用的票证。借助可代理票证，服务可采用客户机的身份来获取其他服务的票证。但是，该服务不能获取票证授予票证 (ticket-granting ticket, TGT)。 |
Allow Service Tickets（允许服务票证） |
选中此项后，将允许为主体颁发服务票证。 不应允许为
kadmin/hostname 和 changepw/hostname 主体颁发服务票证。此做法可确保只有这些主体才能更新 KDC 数据库。 |
Allow TGT-Based Authentication（允许基于 TGT 的验证） |
选中此项后，将允许服务主体为其他主体提供服务。具体而言，此属性允许 KDC 为服务主体颁发服务票证。 此属性仅对服务主体有效。如果取消选中此项，将无法为服务主体颁发服务票证。 |
Allow
Duplicate Authentication（允许复制验证） |
选中此项后，将允许用户主体获取其他用户主体的服务票证。 此属性仅对用户主体有效。如果取消选中此项，用户主体将仍可获取服务主体的服务票证，但不能获取其他用户主体的服务票证。 |
Required Preauthentication（要求预先验证） |
选中此项后，KDC 在验证（通过软件）主体确实为请求 TGT 的主体之前，不会将请求的票证授予票证 (ticket-granting ticket, TGT) 发送给该主体。此预验证通常通过附加口令（例如，从 DES 卡）完成。 如果取消选中此项，则
KDC 不必在向主体发送请求的 TGT 之前预先验证主体。 |
Required Hardware Authentication（要求硬件验证） |
选中此项后，KDC 在验证（通过硬件）主体确实为请求 TGT 的主体之前，不会将请求的票证授予票证 (ticket-granting ticket, TGT)
发送给该主体。例如，可对 Java 环形阅读器进行硬件预验证。 如果取消选中此项，则 KDC 不必在向主体发送请求的 TGT 之前预先验证主体。 |
|
表 23-5 SEAM Tool 的 "Policy Basics"（策略基本信息）面板中的属性
|
|
|---|
Policy Name（策略名称） |
策略的名称。策略是用于管理主体口令和票证的规则集合。 修改策略时不能编辑其名称。 |
Minimum Password Length（最小口令长度） |
主体口令的最小长度。 |
Minimum Password Classes（最少口令类） |
主体口令中要求使用的最少不同字符类型数。 例如，最少类值为
2 表示口令必须至少使用两种不同的字符类型，如字母和数字 (hi2mom)。值为 3 表示口令必须至少使用三种不同的字符类型，如字母、数字和标点符号 (hi2mom!)。依此类推。 值为 1 则表示对口令字符类型数未设置任何限制。 |
Saved Password History（保存的口令历史记录） |
主体先前使用的口令数，以及无法重新使用的先前口令的列表。 |
Minimum Password
Lifetime (seconds)（最短口令生命周期（秒）） |
口令在可更改之前必须经历的最短时间。 |
Maximum Password Lifetime (seconds)（最长口令生命周期（秒）） |
口令在必须更改之前可以经历的最长时间。 |
Principals Using This Policy（使用此策略的主体） |
当前应用此策略的主体数。（只读） |
|
以受限 Kerberos 管理特权使用 SEAM Tool
如果 admin 主体拥有管理 Kerberos 数据库的所有特权，则可使用 SEAM Tool 的所有功能。不过，您的特权可能受到限制，如仅允许查看主体列表或更改主体口令。借助受限 Kerberos 管理特权，仍然可以使用 SEAM Tool。但是，SEAM
Tool 的各个部分会基于未拥有的 Kerberos 管理特权而变化。表 23-6 显示了 SEAM Tool 基于 Kerberos 管理特权变化的情况。
没有列表特权时，SEAM Tool 会发生最直观的变化。如果没有列表特权，列表面板便不会显示供您处理的主体和策略列表。相反，您必须使用列表面板中的 "Name"（名称）字段来指定要处理的主体或策略。
如果您登录到 SEAM Tool，但却没有足够的特权来使用它执行任务，则会显示以下消息并且会返回到 "SEAM Administration Login"（SEAM 管理登录）窗口：
Insufficient privileges to use gkadmin: ADMCIL. Please try using another principal.
要更改主体的特权以便它可管理 Kerberos 数据库，请转至如何修改 Kerberos 管理特权。
表 23-6 以受限 Kerberos 管理特权使用 SEAM Tool
|
|
|---|
a（添加） |
"Principal List"（主体列表）和 "Policy List"（策略列表）面板中的 "Create New"（新建）和 "Duplicate"（复制）按钮不可用。如果没有添加特权，则无法创建新主体或策略，也不能复制它们。 |
d（删除） |
"Principal List"（主体列表）和
"Policy List"（策略列表）面板中的 "Delete"（删除）按钮不可用。如果没有删除特权，则无法删除主体或策略。 |
m（修改） |
"Principal List"（主体列表）和 "Policy List"（策略列表）面板中的 "Modify"（修改）按钮不可用。如果没有修改特权，则无法修改主体或策略。 而且，如果 "Modify"（修改）按钮不可用，则即使您拥有更改口令的特权，也不能修改主体的口令。 |
c（更改口令） |
"Principal Basics"（主体基本信息）面板中的 "Password"（口令）字段处于只读状态，无法更改。如果没有更改口令的特权，则无法修改主体的口令。 请注意，即使您拥有更改口令的特权，还必须同时拥有修改特权才能更改主体的口令。 |
i（查询数据库） |
"Principal
List"（主体列表）和 "Policy List"（策略列表）面板中的 "Modify"（修改）和 "Duplicate"（复制）按钮不可用。如果没有查询特权，则无法修改或复制主体或策略。 而且，如果 "Modify"（修改）按钮不可用，则即使您拥有更改口令的特权，也不能修改主体的口令。 |
l（列出） |
列表面板中的主体和策略列表不可用。如果没有列表特权，则必须使用列表面板中的 "Name"（名称）字段来指定要处理的主体或策略。 |
|
