Allgemeine SEAM-Fehlermeldungen

Dieser Abschnitt bietet eine Liste der allgemeineren Fehlermeldungen von SEAM-Befehlen, SEAM-Daemons, vom PAM-Framework und der Kerberos-Bibliothek.

Fehlermeldung

Es sind keine Authentisierungsystem aktiviert; alle Verbindungen werden abgelehnt

Ursache

Diese Version von rlogind unterstützt keinen Authentisierungsmechanismus.

Lösung

Stellen Sie sicher, daß rlogind mit der Option -k aufgerufen wird. Das sollte sogar die Standardeinstellung in der Datei inetd.conf sein.

Fehlermeldung

Keine Cache-Datei für Berechtigungsnachweise gefunden

Ursache

Kerberos konnte nicht den Berechtigungsnachweis-Cache (/tmp/krb5cc_uid) finden.

Lösung

Stellen Sie sicher, daß die Berechtigungsnachweis-Datei existiert und gelesen werden kann. Wenn das nicht der Fall ist, versuchen Sie, den Befehl kinit noch einmal auszuführen.

Fehlermeldung

Operation erfordert "Privileg"-Privileg

Ursache

Der verwendete admin-Hauptbenutzer hat nicht die passende in der Datei kadm5.acl konfigurierte Berechtigung.

Lösung

Verwenden Sie einen Hauptbenutzer mit den passenden Rechten oder konfigurieren Sie den verwendeten Hauptbenutzer so, daß er die passenden Rechte hat, indem Sie die Datei kadm5.acl ändern. Gewöhnlich hat ein Hauptbenutzer mit "/admin" als Teil seines Namens die passenden Rechte.

Fehlermeldung

PAM-KRB5: Kerberos V5-Authentisierung fehlgeschlagen: Paßwort falsch

Ursache

Ihr UNIX-Paßwort und Ihr Kerberos-Paßwort sind unterschiedlich. Die meisten Befehle, die keine Verbindung zu Kerberos haben, wie zum Beispiel login, werden über PAM so eingerichtet, daß Sie sich automatisch bei Kerberos authentisieren, wobei sie dasselbe Paßwort verwenden, das Sie als UNIX-Paßwort angegeben haben. Wenn diese Paßwörter unterschiedlich sind, schlägt die Kerberos-Authentisierung fehl.

Lösung

Sie müssen Ihr Kerberos-Paßwort eingeben, wenn Sie dazu aufgefordert werden.

Fehlermeldung

Paßwort befindet sich im Paßwort-Wörterbuch

Ursache

Das von Ihnen eingegebene Paßwort ist bereits im verwendeten Paßwort-Wörterbuch enthalten. Das ist keine gute Wahl für ein Paßwort.

Lösung

Wählen Sie ein Paßwort, das eine Mischung von Paßwort-Klassen enthält.

Fehlermeldung

Berechtigung für Code von Wiedergabe-Cache verweigert.

Ursache

Der Wiedergabe-Cache des Systems konnte nicht geöffnet werden. Der Server ist vielleicht vorher unter einer anderen Benutzer-ID als Ihrer jetzigen Benutzer-ID ausgeführt worden.

Lösung

Vergewissern Sie sich, daß der Wiedergabe-Cache die passenden Berechtigungen hat. Der Wiedergabe-Cache ist auf dem Host, auf dem der mit Kerberos ausgestattete Server ausgeführt wird, gespeichert (/usr/tmp/rc_service_name). Anstatt die Berechtigungen für den aktuellen Wiedergabe-Cache zu ändern, können Sie den Cache auch entfernen, bevor Sie den mit Kerberos ausgestatteten Server unter einer anderen Benutzer-ID ausführen.

Fehlermeldung

Keine Übereinstimmung bei Protokollversion

Ursache

Höchstwahrscheinlich wurde ein Kerberos V4-Anforderung an das KDC gesendet. SEAM unterstützt nur das Kerberos V5-Protokoll.

Lösung

Stellen Sie sicher, daß Ihre Anwendungen das Kerberos V5-Protokoll verwenden.

Fehlermeldung

Anforderung ist eine Wiedergabe

Ursache

Die Anforderung ist bereits an diesen Server gesendet und von ihm bearbeitet worden. Die Tickets könnten gestohlen worden sein, und eine andere Person versucht, die Tickets wiederzuverwenden.

Lösung

Warten Sie einige Minuten, und geben Sie die Anforderung erneut aus.

Fehlermeldung

Angeforderter Hauptbenutzer und Ticket stimmen nicht überein

Ursache

Der Service-Hauptbenutzer, mit dem Sie sich verbinden, und Ihr Service-Ticket stimmen nicht überein.

Lösung

Stellen Sie sicher, daß DNS fehlerfrei funktioniert. Wenn Sie die Software eines anderen Herstellers verwenden, vergewissern Sie sich, daß in ihr die Hauptbenutzernamen richtig verwendet werden.

Fehlermeldung

Angeforderte Protokollversion nicht unterstützt

Ursache

Höchstwahrscheinlich wurde ein Kerberos V4-Anforderung an das KDC gesendet. SEAM unterstützt nur das Kerberos V5-Protokoll.

Lösung

Stellen Sie sicher, daß Ihre Anwendungen das Kerberos V5-Protokoll verwenden.

Fehlermeldung

Die erforderlichen Parameter bei Initialisierung der kadmin-Schnittstelle in krb5.conf nicht vorhanden

Ursache

Ein Parameter (wie zum Beispiel der admin_server-Parameter) fehlt in der Datei kr5.conf .

Lösung

Stellen Sie fest, welcher Parameter fehlt, und fügen Sie ihn in krb5.conf hinzu.

Fehlermeldung

Server hat es abgelehnt, die Verschlüsselung zu verhandeln. Auf Wiedersehen.

Ursache

Verschlüsselung konnte nicht mit dem Server verhandelt werden.

Lösung

Starten Sie die Authentisierungsfehlersuche durch Aufruf des Befehls telnet mit toggle encdebug, und schauen Sie die Meldungen der Fehlersuche nach weiteren Hinweisen durch.

Fehlermeldung

Authentisierung von Server zurückgewiesen (während des sendauth-Austausches)

Ursache

Der Server, mit dem Sie zu kommunizieren versuchen, hat die Authentisierung abgelehnt. Dieser Fehler tritt am häufigsten dann auf, wenn gerade eine Vervielfältigung der Kerberos-Datenbank durchgeführt wird. Einige allgemeine Gründe könnten Probleme mit der Datei kpropd.acl, mit DNS oder mit Schlüsseltabellen sein.

Lösung

Wenn Sie diesen Fehler bei der Ausführung anderer Anwendungen als kprop erhalten, untersuchen Sie, ob die Schlüsseltabelle des Servers in Ordnung ist.

Fehlermeldung

Das Ticket betrifft uns nicht ODER Ticket und Authentisierer stimmen nicht überein

Ursache

Ticket und Authentisierer haben nicht übereingestimmt. Der Hauptbenutzername in der Anforderung könnte mit dem Service-Hauptbenutzernamen nicht übereingestimmt haben, weil das Ticket mit einem FQDN-Namen des Hauptbenutzers gesendet wurde, während der Service keinen FQDN-Namen erwartet hatte und umgekehrt.

Lösung

Stellen Sie sicher, daß der von ihnen verwendete Service-Hauptbenutzer richtig ist.

Fehlermeldung

Ticket abgelaufen

Ursache

Ihre Ticket-Zeiten sind abgelaufen.

Lösung

Vernichten Sie Ihre Tickets mit kdestroy und erstellen Sie mit kinit neue Tickets.

Fehlermeldung

Ticket ist zur Nachdatierung nicht berechtigt

Ursache

Der Hauptbenutzer erlaubt nicht, daß seine Tickets nachdatiert werden.

Lösung

Ändern Sie mit kadmin(1M) den Hauptbenutzer, damit das Nachdatieren zugelassen wird.

Fehlermeldung

Ticket noch nicht gültig

Ursache

Das nachdatierte Ticket ist noch nicht gültig.

Lösung

Erstellen Sie neue Tickets mit dem richtigen Datum, oder warten Sie, bis die jetzigen Tickets gültig sind.

Fehlermeldung

Abgeschnittene Eingabedatei entdeckt.

Ursache

Die in der Operation verwendete Datenbank-Abzugdatei ist keine vollständige Abzugdatei.

Lösung

Erstellen Sie die Abzugdatei noch einmal, oder verwenden Sie eine andere Datenbank-Abzugdatei.

Fehlermeldung

Kann nicht mit Kerberos V5 verbinden und Verschlüsselungs-Service bereitstellen ODER Kann mit normalem rlogin keine Verbindung zu Kerberos V5 herstellen

Ursache

Eine Kerberos-Sitzung konnte auf dem Server nicht mit dem passenden Service (kshell für rsh und rcp, eklogin oder klogin für rlogin) eröffnet werden. Das könnte an ungültigen Berechtigungsnachweisen liegen.

Lösung

1. Stellen Sie sicher, daß Ihre Berechtigungsnachweise gültig sind. Vernichten Sie Ihre Tickets mit kdestroy und erstellen Sie mit kinit neue Tickets.

2. Vergewissern Sie sich, daß der Zielhost eine Schlüsseltabelle mit der richtigen Version des Service-Schlüssels hat. Zeigen Sie mithilfe von kadmin(1M) die Schlüsselversionsnummer des Service-Hauptbenutzers (zum Beispiel host/FQDN_hostname) in der Kerberos Datenbank an, und rufen Sie klist - k auf dem Zielhost auf, um zu prüfen, ob dieser dieselbe Schlüsselversionsnummer hat.

3. Vergewissern Sie sich, daß es für die Services ( klogin, eklogin und kshell) in der Datei /etc/inetd.conf auf dem Zielhost Einträge gibt.

Fehlermeldung

Benutzer kann nicht sicher authentisiert werden ... Abbruch

Ursache

Authentisierung konnte nicht mit dem Server verhandelt werden.

Lösung

Starten Sie die Authentisierungsfehlersuche durch Aufruf des Befehls telnet mit toggle authdebug, und schauen Sie die Meldungen der Fehlersuche nach weiteren Hinweisen durch. Stellen Sie auch sicher, daß Sie gültige Berechtigungsnachweise haben.

Fehlermeldung

Falscher Hauptbenutzer in Anforderung

Ursache

Es gab einen ungültigen Hauptbenutzernamen im Ticket. Das kann ein DNS- oder FQDN-Problem sein.

Lösung

Stellen Sie sicher, daß der Service-Hauptbenutzer mit dem Hauptbenutzer im Ticket übereinstimmt.

Fehlermeldung

Sie verwenden einen alten Kerberos5-Client ohne Prüfsummen-Unterstützung; nur neuere Clients sind berechtigt.

Ursache

Authentisierung mit Prüfsumme wurde nicht mit dem Client verhandelt. Der Client könnte ein altes Kerberos V5-Protokoll verwenden, das keine Unterstützung beim Verbindungsaufbau bietet.

Lösung

Stellen Sie sicher, daß der Client ein Kerberos V5-Protokoll verwendet, welches Unterstützung beim Verbindungsaufbau bietet.