Säkerhetskopiera och överföra Kerberos-databasen

Överföring av Kerberos-databasen från huvud-KDC:n till slav-KDC:erna är en av de viktigaste konfigureringsuppgifterna. Om överföringen inte sker ofta nog kommer huvud-KDC:n och slav-KDC:erna inte längre att vara synkroniserade, vilket innebär att om huvud-KDC:n slutar att fungera kommer slav-KDC:erna inte att ha den senaste databasinformationen. Om en slav-KDC dessutom konfigurerats som en huvudserver för att åstadkomma balansering av belastningen, kommer de klienter som använder denna slav som huvud-KDC inte att ha den senaste informationen. Det är därför viktigt att se till att överföringen sker tillräckligt ofta baserat på hur ofta ändringar görs i Kerberos-databasen.

Vid konfiguration av huvud-KDC:n anger du kprop_script i ett cron-jobb så att Kerberos-databasen automatiskt säkerhetskopieras till dumpfilen /var/krb5/slave_datatrans och överförs till slav-KDC:erna. Kerberos-databasen kan dock, precis som vilken annan fil som helst, bli korrupt. Om detta inträffar på en av slav-KDC:erna kan det tänkas att du aldrig märker det eftersom nästa automatiska databasöverföring installerar en korrekt kopia. Om det däremot inträffar på huvud-KDC:n kommer den korrupta databasen att överföras till alla slavservrar vid nästa överföring. Dessutom kommer den korrupta säkerhetskopian att skriva över den tidigare, korrekta säkerhetskopian på huvud-KDC:n.

Eftersom ingen av säkerhetskopiorna kan betraktas som "säker" vid detta scenario bör du även ange ett cron-jobb till att regelbundet kopiera dumpfilen slave_datatrans till en annan plats eller till att skapa en separat säkerhetskopia med kommandot dump i kdb5_util. Om databasen sedan blir korrupt kan du återställa den på huvud-KDC:n från den senaste säkerhetskopian genom att använda kommandot load i kdb5_util.

Det är också viktigt att notera att, eftersom databasdumpfilen innehåller principalnycklar, måste du skydda filen från åtkomst av obehöriga användare (databasdumpfilen har som standard läs/skriv-behörighet endast för root). Detta innebär att endast kommandot kprop får användas för att överföra databasdumpfilen eftersom det krypterar den överförda informationen. Dessutom överför kprop informationen endast till slav-KDC:erna, vilket minskar risken för att databasdumpen av misstag skickas till overifierade värdar.

Om Kerberos-databasen uppdateras efter att den överförts och sedan blir korrupt före nästa överföring, kommer slavarna inte att innehålla den uppdaterade informationen: Uppdateringen kommer att förloras. Om du lägger till betydande uppdateringar till databasen före en schemalagd överföring bör du därför överföra den manuellt för att undvika förlust av information.

Filen kpropd.acl

Filen kpropd.acl på en KDC innehåller en lista med namn på värdprincipaler som anger de system från vilka KDC:n kan erhålla en uppdaterad databas genom överföringsmekanismen. Om huvud-KDC:n används för överföring till alla slav-KDC:er behöver filen kpropd.acl på varje slav endast innehålla värdprincipalnamnet för huvudservern.

I den här handboken har du dock instruerats att lägga till samma version av filen kpropd.acl till huvud-KDC:n som till slav-KDC:erna under installationen av SEAM med dess efterföljande konfigurationssteg. Denna fil innehåller alla värdprincipalnamn för KDC:n. Denna konfiguration gör att du kan överföra från vilken KDC som helst ifall de överförande KDC:erna skulle bli tillfälligt satta ur funktion. Det är dessutom lättare att underhålla en identisk kopia på alla KDC:er.

Kommandot kprop_script

Kommandot kprop_script använder kommandot kprop för att överföra Kerberos-databasen till andra KDC:er. (Om kprop_script körs på en slav-KDC, överförs slavens kopia av Kerberos-databasen till andra KDC:er.) kprop_script tar som argument en lista av värdnamn, åtskiljda av blanksteg, som anger till vilka KDC:er överföring ska ske.

När kprop_script körs, skapas en säkerhetskopia av Kerberos-databasen i filen /var/krb5/slave_datatrans som sedan kopieras till de angivna KDC:erna. Kerberos-databasen är låst tills överföringen är klar.