Handbok för Sun Enterprise Authentication Mechanism

Så här konfigurerar du en huvud-KDC

Ett fullständigt exempel får vi om vi antar att du inte kört förkonfigureringsproceduren. Om du använde förkonfigureringsproceduren när du installerade programvaran, behöver många av filerna i den här proceduren inte redigeras. Du bör dock kontrollera filernas innehåll.

I den här proceduren används följande konfigureringsparametrar:

användarkategori = ACME.COM
DNS-domän = acme.com
huvud-KDC = kdc1.acme.com
slav-KDC = kdc2.acme.com
principal för admin = kws/admin
webbadress för onlinehjälp = http://denver:8888/ab2/coll.384.1/SEAM/@AB2PageView/6956

Obs!
Ändra webbadressen så att den pekar på avsnittet "Administrationsverktyget för SEAM" som det beskrivs i Installations- och tilläggsinformation för SEAM.

Förutsättningar för konfigurering av en huvud-KDC.

Den här proceduren förutsätter att programvaran för huvud-KDC:n är installerad. Dessutom måste DNS-tjänsten köra. Se även namngivningsinstruktionerna i "Växla huvud- och slav-KDC:er" om huvudservern ska vara växlingsbar.

Bli superanvändare på huvud-KDC:n.

Redigera konfigurationsfilen för Kerberos(krb5.conf).

Du måste byta namn på användarkategorierna och servrarna. En fullständig beskrivning av denna fil finns i direkthjälpsavsnittet krb5.conf(4). Om du installerade programvaran för SEAM med hjälp av konfigurationsfilerna verifierar du innehållet i filen istället för att redigera den.

kdc1 # cat /etc/krb5/krb5.conf
[libdefaults]
        default_realm = ACME.COM

[realms]
                ACME.COM = {
                kdc = kdc1.acme.com
                kdc = kdc2.acme.com
                admin_server = kdc1.acme.com
        }

[domain_realm]
        .acme.com = ACME.COM
#
# om domänen och användarkategorin har samma namn, 
# behövs inte den här posten
#
[logging]
        default = FILE:/var/krb5/kdc.log
        kdc = FILE:/var/krb5/kdc.log

[appdefaults]
    gkadmin = {
        help_url = http://denver:8888/ab2/coll.384.1/SEAM/@AB2PageView/6956
        }

I det här exemplet ändrades raderna för posternadefault_realm, kdc, admin_server, och alla domain_realm. Raden för default_realm har inkluderats för att göra exemplet fullständigt, men denna post skapas inte under installationen om namnen för användarkategori och domän är samma. Dessutom har raden med definitionen av help_url redigerats.

Redigera KDC-konfigurationsfilen (kdc.conf).

Du måste byta namn på användarkategorin. En fullständig beskrivning av denna fil finns i direkthjälpsavsnittet kdc.conf(4). Om du installerade programvaran för SEAM med hjälp av konfigurationsfilerna verifierar du innehållet i filen istället för att redigera den.

kdc1 # cat /etc/krb5/kdc.conf
[kdcdefaults]
        kdc_ports = 88,750

[realms]
        ACME.COM = {
                profile = /etc/krb5/krb5.conf
                database_name = /var/krb5/principal
                admin_keytab = /var/krb5/kadm5.keytab
                acl_file = /var/krb5/kadm5.acl
                kadmind_port = 749
                max_life = 8h 0m 0s
                max_renewable_life = 7d 0h 0m 0s
        }

I det här exemplet ändrades definitionen av användarkategorinamnet i avsnittet realms.

Skapa KDC-databasen med kdb5_util.

Kommandot kdb5_util skapar KDC-databasen och, tillsammans med alternativet -s, även en lagringsfil som används för att verifiera KDC:n till sig själv innan bakgrundsprogrammen kadmind och krb5kdc startas.

kdc1 # /usr/krb5/sbin/kdb5_util create -r ACME.COM -s
Initierar databasen "/var/krb5/principal" för användarkategorin "ACME.COM"
med huvudnyckeln "K/M@ACME.COM".
Du kommer att uppmanas att ange huvudlösenordet för databasen.
Det är viktigt att du INTE GLÖMMER detta lösenord.
Ange huvudnyckeln för KDC-databasen: <skriv nyckeln>
	Ange huvudnyckeln för KDC-databasen en gång till för verifiering: <skriv det igen>

Alternativet -r följt av användarkategorinamnet behövs inte om namnet på användarkategorin är samma som domännamnet för serverns namnutrymme.

Redigera filen med behörighetslistan för Kerberos (kadm5.acl).

När den är fylld innehåller /etc/krb5/kadm5.acl namnen på alla principaler som tillåts administrera KDC:n. Den först tillagda posten kan se ut så här:
kws/admin@ACME.COM *
Den här posten ger principalen kws/admin i användarkategorin ACME.COM möjlighet att ändra principaler eller policies i KDC-databasen. Vid standardinstallationen läggs en "*" till för att matcha alla admin -principaler. Detta kan innebära en säkerhetsrisk och det är säkrare att istället lägga till en lista med alla admin-principaler.

Starta kadmin.local.

Följande steg skapar de principaler som används av SEAM.

kdc1 # /usr/krb5/sbin/kadmin.local
kadmin.local:

Lägg till administrationsprincipaler till databasen med kadmin.local.

Du kan lägga till så många admin-principaler som du behöver. Du måste lägga till åtminstone en admin-principal för att slutföra KDC-konfigureringen. I det här exemplet läggs en kws/admin-principal till. Du kan använda valfritt principalnamn istället för "kws".

kadmin.local: addprinc kws/admin
Ange lösenord för principalen kws/admin@ACME.COM: <skriv lösenordet>
Ange lösenord för principalen kws/admin@ACME.COM en gång till: <skriv det igen>
Principalen "kws/admin@ACME.COM" har skapats.
kadmin.local:

Skapa en keytab-fil för kadmin genom att använda kadmin.local.

Den här kommandosekvensen skapar en särskild keytab-fil med principalposter för kadmin och changepw. Dessa principaler behövs för tjänsten kadmind.

kadmin.local: ktadd -k /etc/krb5/kadm5.keytab kadmin/kdc1.acme.com
En post för principalen kadmin/kdc1.acme.com med kvno 3, krypteringstyp DES-CBC-CRC
          har lagts till i keytab-filen WRFILE:/etc/krb5/kadm5.keytab.
kadmin.local: ktadd -k /etc/krb5/kadm5.keytab changepw/kdc1.acme.com    
En post för principalen changepw/kdc1.acme.com med kvno 3, krypteringstyp DES-CBC-CRC
          har lagts till i keytab-filen WRFILE:/etc/krb5/kadm5.keytab.
kadmin.local:

Avsluta kadmin.local

Du har lagt till de principaler som behövs för nästa steg.
kadmin.local: avsluta

Starta bakgrundsprogrammen för Kerberos.

kdc1 # /etc/init.d/kdc start
kdc1 # /etc/init.d/kdc.master start

Starta kadmin.

Nu kan du lägga till principaler med Administrationsverktyget för SEAM. Kommandoradsexemplet visas för enkelhets skull. Du måste logga in med ett av de principalnamn för admin som du skapade tidigare i denna procedur.

kdc1 # /usr/krb5/sbin/kadmin -p kws/admin
Ange lösenord: <Skriv lösenord för kws/admin>
kadmin:

Skapa värdprincipalen för huvud-KDC:n med kadmin.

Värdprincipalen används av Kerberos-anpassade program (som till exempel klist och kprop) och Kerberos-anpassade tjänster (som till exempel ftp och telnet).
kadmin: addprinc -randkey host/kdc1.acme.com Principalen "host/kdc1.acme.com@ACME.COM" har skapats. kadmin:

Valfritt: Skapa principalen för root på huvud-KDC:n med kadmin.

Den här principalen används för verifierad NFS-montering och behövs eventuellt inte på en huvud-KDC.

kadmin: addprinc root/kdc1.acme.com
Ange lösenord för principalen root/kdc1.acme.com@ACME.COM: <skriv lösenordet>
Ange lösenord för principalen root/kdc1.acme.com@ACME.COM på nytt: <skriv det igen>
Principalen "root/kdc1.acme.com@ACME.COM" har skapats.
kadmin:

Lägg till huvud-KDC:ns värdprincipal till keytab-filen för huvud-KDC:n.

Genom att lägga till värdprincipalen i keytab-filen kan den sedan användas automatiskt.

kadmin: ktadd host/kdc1.acme.com
kadmin: En post för principalen host/kdc1.acme.com med
  kvno 3, krypteringstyp DES-CBC-CRC har lagts till i keytab-filen
  WRFILE:/etc/krb5/krb5.keytab
kadmin: avsluta

Avsluta kadmin
kadmin: avsluta

Lägg till en post för varje KDC i överföringskonfigureringsfilen (kpropd.acl).

En fullständig beskrivning av denna fil finns i direkthjälpsavsnittet kprop(1M). Om du installerade programvaran för SEAM med hjälp av konfigurationsfilerna verifierar du innehållet i filen istället för att redigera den.
kdc1 # cat /etc/krb5/kpropd.acl host/kdc1.acme.com@ACME.COM host/kdc2.acme.com@ACME.COM

Valfritt: Synkronisera huvud-KDC:ns klocka med hjälp av NTP eller annan klocksynkroniseringsmekanism.

Det är inte nödvändigt att installera och använda NTP, men tiden hos varje klocka måste ligga inom den standardtid som definierats i avsnittet libdefaults i filen krb5.conf för att verifieringen ska lyckas. Mer information om NTP finns i "Synkronisera klockor mellan KDC:er och SEAM-klienter"