Konfigurieren von Kerberos-Netzwerkanwendungsservern

Netzwerkanwendungsserver sind Hosts, die Zugriff auf eine oder mehrere der folgenden Netzwerkanwendungen bieten: ftp, rcp, rlogin, rsh, ssh und telnet. Die Kerberos-Version dieser Befehle kann mit wenigen Schritten auf einem Server aktiviert werden.

So konfigurieren Sie einen Kerberos-Netzwerkanwendungsserver

In diesem Verfahren werden die folgenden Konfigurationsparameter verwendet:

• Anwendungsserver = boston

• admin-Hauptelement = kws/admin

• DNS-Domainname = example.com

• Realm name = EXAMPLE.COM

Bevor Sie beginnen

Für dieses Verfahren muss das Master-KDC konfiguriert sein. Für einen vollständigen Test des Prozesses müssen mehrere Kerberos-Clients konfiguriert sein.

1. (Optional) Installieren Sie den NTP-Client oder einen anderen Synchronisierungsmechanismus für Uhren.

   Informationen zu NTP finden Sie unter Synchronisieren von Uhren zwischen KDCs und Kerberos-Clients.

2. Fügen Sie Hauptelemente für den neuen Server hinzu und aktualisieren Sie die Schlüsseltabelle des Servers.

   Mit dem folgenden Befehl stellen Sie fest, ob das Host-Hauptelement vorhanden ist:

   boston # klist -k |grep host
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM

   Wenn der Befehl kein Hauptelement zurückgibt, erstellen Sie mit folgenden Schritten neue Hauptelemente.

   Die Verwendung des Graphical Kerberos Administration-Tools wird unter So erstellen Sie ein neues Kerberos-Hauptelement erläutert. In den folgenden Schritten wird anhand eines Beispiels erläutert, wie die erforderlichen Hauptelemente mithilfe der Befehlszeile hinzugefügt werden. Sie müssen sich mit einem der zuvor bei der Konfiguration des Master-KDC erstellten admin-Hauptelementnamen anmelden.

   boston # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: 

   1. Erstellen Sie das host-Hauptelement des Servers.

      Das host-Hauptelement wird zu folgenden Zwecken verwendet:

      • Authentifizieren des Datenverkehrs bei Verwendung von Remote-Befehlen wie rsh und ssh

      • Ermöglicht pam_krb5 KDC-Spoofing-Angriffe zu verhindern, indem mithilfe des host-Hauptelements sicherstellt wird, dass der Kerberos-Berechtigungsnachweis von einem vertrauenswürdigen KDC stammt.

      • Ermöglicht dem root-Benutzer, automatisch einen Kerberos-Berechtigungsnachweis zu erhalten, ohne dass ein root-Hauptelement vorhanden sein muss. Dies kann beim manuellen Einhängen einer NFS-Komponente nützlich sein, wenn für die Komponente ein Kerberos-Berechtigungsnachweis erforderlich ist.

      Dieses Hauptelement ist erforderlich, wenn der Datenverkehr über die Remote-Anwendung mithilfe des Kerberos-Service authentifiziert werden soll. Wenn dem Server mehrere Hostnamen zugewiesen sind, erstellen Sie ein Hauptelement für jeden Hostnamen unter Verwendung der FQDN-Form des Hostnamens.

      kadmin: addprinc -randkey host/boston.example.com
      Principal "host/boston.example.com" created.
      kadmin: 

   2. Fügen Sie das host-Hauptelement der Schlüsseltabelle des Servers hinzu.

      Wenn der Befehl kadmin noch nicht ausgeführt wird, starten Sie ihn mit einem Befehl ähnlich dem folgenden: /usr/sbin/kadmin -p kws/admin

      Wenn dem Server mehrere Hostnamen zugewiesen sind, fügen Sie der Schlüsseltabelle für jeden Hostnamen ein Hauptelement hinzu.

      kadmin: ktadd host/boston.example.com
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-256 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-128 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type Triple DES cbc
                mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type ArcFour
                with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type DES cbc mode
                with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      kadmin:

   3. Beenden Sie kadmin.

      kadmin: quit