Teil I Übersicht über die Sicherheit
1. Sicherheitsservices (Überblick)
Teil II System-, Datei- und Gerätesicherheit
2. Verwalten von Rechnersicherheit (Übersicht)
3. Steuern des Zugriffs auf Systeme (Aufgaben)
4. Steuern des Zugriffs auf Geräte (Aufgaben)
5. Verwenden von Basic Audit Reporting Tool (Aufgaben)
6. Steuern des Zugriffs auf Dateien (Aufgaben)
7. Verwenden von Automated Security Enhancement Tool (Aufgaben)
Teil III Rollen, Berechtigungsprofile und Berechtigungen
8. Verwenden von Rollen und Berechtigungen (Übersicht)
9. Rollenbasierte Zugriffssteuerung (Aufgaben)
10. Rollenbasierte Zugriffssteuerung (Übersicht)
Teil IV Kryptografische Services
13. Oracle Solaris Cryptographic Framework (Übersicht)
14. Oracle Solaris Cryptographic Framework (Aufgaben)
15. Oracle Solaris Key Management Framework
Teil V Authentifizierungsservices und sichere Kommunikation
16. Verwenden von Authentifizierungsservices (Aufgaben)
19. Verwenden von Oracle Solaris Secure Shell (Aufgaben)
20. Oracle Solaris Secure Shell (Referenz)
21. Einführung zum Kerberos-Service
22. Planen des Kerberos-Service
Notwendigkeit des Planens von Kerberos-Bereitstellungen
Zuordnen von Hostnamen zu Bereichen
Client- und Service-Hauptelementnamen
Ports für die KDC- und Admin-Services
Zuordnen von GGS-Berechtigungsnachweisen zu UNIX-Berechtigungsnachweisen
Automatische Benutzermigration in einen Kerberos-Bereich
Entscheidung über das zu verwendende System für die Datenbankweitergabe
Synchronisierung von Uhren innerhalb eines Bereichs
Optionen zur Clientkonfiguration
Verbessern der Sicherheit bei der Clientanmeldung
Optionen zur KDC-Konfiguration
Kerberos-Verschlüsselungstypen
Onlinehilfe-URL im Graphical Kerberos Administration Tool
23. Konfigurieren des Kerberos-Service (Aufgaben)
24. Kerberos-Fehlermeldungen und -Fehlerbehebung
25. Verwalten von Kerberos-Hauptelementen und Richtlinien (Aufgaben)
26. Verwenden von Kerberos-Anwendungen (Aufgaben)
27. Der Kerberos-Service (Referenz)
Teil VII Prüfung bei Oracle Solaris
28. Prüfung bei Oracle Solaris (Übersicht)
29. Planen der Oracle Solaris-Prüfung
30. Verwalten der Oracle Solaris-Prüfung (Aufgaben)
Ein Bereich ist ein logisches Netzwerk (ähnlich einer Domain), das eine Gruppe von Systemen unter dem Namen Master-KDC definiert. Ebenso wie beim Einrichten eines DNS-Domainnamens sollten Probleme bezüglich des Bereichsnamens, der Anzahl und Größe jedes Bereichs sowie der Beziehung eines Bereichs zu anderen Bereichen für die bereichsübergreifende Authentifizierung vor der Konfiguration des Kerberos-Service gelöst werden.
Bereichsnamen können aus einer beliebigen ASCII-Zeichenfolge bestehen. Üblicherweise entspricht der Bereichsname Ihrem DNS-Domainnamen, mit dem Unterschied, dass der Bereichsname in Großbuchstaben geschrieben ist. Mithilfe dieser Konvention lassen sich Probleme mit dem Kerberos-Service von Problemen mit dem DNS-Namespace unterscheiden, während ein bekannter Name verwendet wird. Wenn Sie DNS nicht verwenden oder sich für eine andere Zeichenfolge entscheiden, können Sie eine beliebige Zeichenfolge verwenden. Der Konfigurationsvorgang erfordert jedoch mehr Arbeitsaufwand. Es empfiehlt sich die Verwendung von Bereichsnamen, die der standardmäßigen Naming-Struktur für das Internet folgen.
Die Anzahl der für Ihre Installation erforderlichen Bereiche hängt von mehreren Faktoren ab:
Die Anzahl der zu unterstützenden Clients. Durch eine zu hohe Anzahl an Clients in einem Bereich wird die Verwaltung erschwert und der Bereich muss möglicherweise aufgeteilt werden. Die primären Faktoren zur Bestimmung der Anzahl der möglichen zu unterstützenden Clients sind folgende:
Die Menge des Kerberos-Verkehrs, den jeder Client generiert
Die Bandbreite des physischen Netzwerks
Die Geschwindigkeit der Hosts
Da jede Installation verschiedene Grenzen aufweist, gibt es für die Bestimmung der maximalen Anzahl an Clients keine allgemein gültige Regel.
Zum einen spielt die Entfernung der Clients eine Rolle. Es bietet sich an, mehrere kleine Bereiche einzurichten, wenn sich die Clients in verschiedenen geografischen Regionen befinden.
Zum anderen kommt es auch auf die Anzahl der Hosts an, die als KDC installiert werden können. Jeder Bereich sollte mindestens zwei KDC-Server umfassen: einen Master-Server und einen Slave-Server.
Es wird empfohlen, die Kerberos-Bereiche an administrativen Domains auszurichten. Beachten Sie, dass ein Kerberos V-Bereich mehrere Subdomains der DNS-Domain umfassen kann, der der Bereich entspricht.
Beim Konfigurieren mehrerer Bereiche für die bereichsübergreifende Authentifizierung müssen Sie die Beziehung zwischen diesen Bereichen bestimmen. Sie können eine hierarchische Beziehung zwischen den Bereichen festlegen, wodurch automatische Pfade zu den zugehörigen Domains bestimmt werden. Selbstverständlich müssen alle Bereiche in der hierarchischen Kette ordnungsgemäß konfiguriert werden. Die automatischen Pfade stellen eine Erleichterung bei der Verwaltung dar. Wenn jedoch viele Ebenen von Domains vorhanden sind, sollten Sie nicht den Standardpfad verwenden, da zu viele Transaktionen erforderlich sind.
Sie können die vertrauensvolle Beziehung auch direkt einrichten. Eine direkte vertrauensvolle Beziehung eignet sich besonders dann, wenn zwischen zwei hierarchischen Bereichen zu viele Ebenen vorhanden sind oder wenn keine hierarchische Beziehung festgelegt ist. Die Verbindung muss in der Datei /etc/krb5/krb5.conf auf allen Hosts definiert werden, die die Verbindung verwenden. Dies erfordert etwas zusätzliche Arbeit. Die direkte vertrauensvolle Beziehung wird auch als transitive Beziehung bezeichnet. Eine Einführung hierzu finden Sie unter Kerberos-Bereiche. Informationen zu den Konfigurationsverfahren für mehrere Bereiche finden Sie unter Konfigurieren von bereichsübergreifender Authentifizierung.