test

Sun Java System Directory Server Enterprise Edition 6.2 管理指南

目錄伺服器機器：建立目錄伺服器 Keytab

如前所述，目錄伺服器必須在 KDC 中具有本身的主體，才能透過 GSSAPI 認證 Kerberos 使用者。為使認證正確運作，主體資訊必須位於目錄伺服器機器的 Kerberos keytab 中。此項資訊必須位於執行目錄伺服器的使用者帳號可讀取的檔案中。

使用下列指令序列，建立具有正確特性的 keytab 檔案：


$ /usr/sbin/kadmin -p kws/admin
Enter Password: secret
kadmin:  ktadd -k //local/ds/config/ldap.keytab ldap/directory.example.com
Entry for principal ldap/directory.example.com with kvno 3, encryption type
 DES-CBC-CRC added to keytab
 WRFILE:/local/ds/config/ldap.keytab.
kadmin:  quit
$

變更此自訂 keytab 中的權限與所有權。讓用以執行目錄伺服器的使用者帳號擁有此 keytab，且只有該名使用者可加以讀取：


$ chown unixuser:unixgroup /local/ds/config /ldap.keytab
$ chmod 600 /local/ds/config/ldap.keytab
$

目錄伺服器預設會嘗試使用 /etc/kerb5/krb5.keytab 檔案中的標準 Kerberos keytab。但若讓目錄伺服器使用者可讀取此檔案，將會構成安全性風險，為目錄伺服器建立自訂 keytab 的用意即在於此。

配置目錄伺服器以使用新的自訂 keytab。請設定 KRB5_KTNAME 環境變數，以執行此作業。

最後，請重新啟動目錄伺服器，變更方可生效：


$ KRB5_KTNAME=/etc/krb5/ldap.keytab dsadm restart /local/ds