Client- und Service-Hauptelementnamen

Wenn Sie den Kerberos-Service verwenden, muss DNS auf allen Hosts aktiviert sein. Bei aktiviertem DNS sollten die Hauptelemente den vollständig qualifizierten Domainnamen (FQDN, Fully Qualified Domain Name) jedes Hosts enthalten. Beispiel: Wenn der Hostname boston , der DNS-Domainname example.com und der Bereichsname EXAMPLE.COM sind, sollte der Hauptelementname für den Host host/boston.example.com@EXAMPLE.COM lauten. Die in diesem Buch aufgeführten Beispiele setzen die Konfiguration von DNS und die Verwendung des FQDN für jeden Host voraus.

Der Kerberos-Service standardisiert Alias-Namen von Hosts über DNS und verwendet die standardisierte Form (cname) beim Erstellen des Service-Hauptelements für den zugewiesenen Service. Daher sollte bei der Erstellung eines Service-Hauptelements die Hostnamen-Komponente von Service-Hauptelementen die kanonische Form des Hostnamens des Systems sein, das den Service hostet.

Im Folgenden sehen Sie ein Beispiel für die Standardisierung des Hostnamens durch den Kerberos-Service. Ein Benutzer führt den Befehl "ssh alpha.example.com" aus, wobei alpha.example.com ein DNS-Host-Alias für den standardisierten Namen (cname) beta.example.com ist. Wenn ssh Kerberos aufruft und ein Hostservice-Ticket für alpha.example.com anfordert, standardisiert der Kerberos-Service alpha.example.com auf beta.example.com und fordert vom KDC ein Ticket für das Service-Hauptelement "host/beta.example.com" an.

Bei den Hauptelementnamen, die den FQDN eines Hosts enthalten, muss eine Übereinstimmung mit der Zeichenfolge bestehen, die den DNS-Domainnamen in der Datei /etc/resolv.conf beschreibt. Beim Kerberos-Service muss der DNS-Domainname in Kleinbuchstaben geschrieben sein, wenn Sie den FQDN für ein Hauptelement angeben. Der DNS-Domainname kann Groß- und Kleinbuchstaben enthalten; bei der Erstellung eines Host-Hauptelements dürfen Sie jedoch nur Kleinbuchstaben verwenden. So ist es beispielsweise egal, ob der DNS-Domainname example.com, Example.COM usw. lautet. Der Hauptelementname für den Host ist weiterhin host/boston.example.com@EXAMPLE.COM.

Darüber hinaus wurde Service Management Facility so konfiguriert, dass eine Vielzahl der Dämonen und Befehle erst gestartet wird, wenn der DNS-Clientservice ausgeführt wird. Die Dämonen kdb5_util, kadmind und kpropd sowie der Befehl kprop sind so konfiguriert, dass sie vom DNS-Service abhängen. Um die mit dem Kerberos-Service und SMF verfügbaren Funktionen voll nutzen zu können, müssen Sie den DNS-Clientservice auf allen Hosts aktivieren.