Konfigurieren von bereichsübergreifender Authentifizierung

Es gibt verschiedene Möglichkeiten zum Verknüpfen von Bereichen, sodass Benutzer aus einem Bereich in einem anderen Bereich authentifiziert werden können. Eine bereichsübergreifende Authentifizierung wird durch Einrichtung eines Geheimschlüssels erreicht, der von beiden Bereichen ausgetauscht wird. Die Beziehung zwischen den Bereichen kann entweder hierarchisch oder gerichtet sein (siehe Bereichshierarchie).

So richten Sie eine hierarchische bereichsübergreifende Authentifizierung ein

In diesem Beispiel werden die beiden Bereiche ENG.EAST.EXAMPLE.COM und EAST.EXAMPLE.COM verwendet. Die bereichsübergreifende Authentifizierung wird für beide Richtungen eingerichtet. Dieses Verfahren muss auf dem Master-KDC in beiden Bereichen ausgeführt werden.

Bevor Sie beginnen

Das Master-KDC der einzelnen Bereiche muss konfiguriert sein. Für einen vollständigen Test des Authentifizierungsprozesses müssen mehrere Kerberos-Clients konfiguriert sein.

1. Melden Sie sich beim ersten Master-KDC als Superuser an.
2. Erstellen Sie TGT-Service-Hauptelemente für beide Bereiche.

   Sie müssen sich mit einem der zuvor bei der Konfiguration des Master-KDC erstellten admin-Hauptelementnamen anmelden.

   # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM
   Enter password for principal krgtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM: <Type password>
   kadmin: addprinc krbtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
   Enter password for principal krgtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type password>
   kadmin: quit

   ---

   Hinweis - Das für die Service-Hauptelemente angegebene Passwort muss auf beiden KDCs identisch sein. Daher muss das Passwort für das Service-Hauptelement krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM in beiden Bereiche gleich sein.

   ---

3. Fügen Sie der Kerberos-Konfigurationsdatei (krb5.conf) Einträge hinzu, um die Domainnamen für die Bereiche zu definieren.

   # cat /etc/krb5/krb5.conf
   [libdefaults]
    .
    .
   [domain_realm]
           .eng.east.example.com = ENG.EAST.EXAMPLE.COM
           .east.example.com = EAST.EXAMPLE.COM

   In diesem Beispiel werden Domainnamen für die Bereiche ENG.EAST.EXAMPLE.COM und EAST.EXAMPLE.COM definiert. Die Subdomain muss unbedingt zuerst aufgeführt werden, da die Datei von oben nach unten durchsucht wird.

4. Kopieren Sie die Kerberos-Konfigurationsdatei auf alle Clients in diesem Bereich.

   Damit die bereichsübergreifende Authentifizierung funktioniert, muss auf allen Systemen (einschließlich des Slave-KDCs und anderer Server) die neue Version der Kerberos-Konfigurationsdatei (/etc/krb5/krb5.conf) installiert sein.

5. Wiederholen Sie diese Schritte im zweiten Bereich.

So richten Sie eine direkte bereichsübergreifende Authentifizierung ein

In diesem Beispiel werden die beiden Bereiche ENG.EAST.EXAMPLE.COM und SALES.WEST.EXAMPLE.COM verwendet. Die bereichsübergreifende Authentifizierung wird für beide Richtungen eingerichtet. Dieses Verfahren muss auf dem Master-KDC in beiden Bereichen ausgeführt werden.

Bevor Sie beginnen

Das Master-KDC der einzelnen Bereiche muss konfiguriert sein. Für einen vollständigen Test des Authentifizierungsprozesses müssen mehrere Kerberos-Clients konfiguriert sein.

1. Melden Sie sich als Superuser bei einem der Master-KDC-Server an.
2. Erstellen Sie TGT-Service-Hauptelemente für beide Bereiche.

   Sie müssen sich mit einem der zuvor bei der Konfiguration des Master-KDC erstellten admin-Hauptelementnamen anmelden.

   # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM
   Enter password for principal 
     krgtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM: <Type the password>
   kadmin: addprinc krbtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
   Enter password for principal 
     krgtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type the password>
   kadmin: quit

   ---

   Hinweis - Das für die Service-Hauptelemente angegebene Passwort muss auf beiden KDCs identisch sein. Daher muss in beiden Bereichen das gleiche Passwort für das Service-Hauptelement krbtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM verwendet werden.

   ---

3. Fügen Sie in der Kerberos-Konfigurationsdatei Einträge hinzu, um den direkten Pfad zum Remote-Bereich zu definieren.

   In diesem Beispiel werden die Clients im Bereich ENG.EAST.EXAMPLE.COM gezeigt. Um die entsprechenden Definitionen im Bereich SALES.WEST.EXAMPLE.COM zu erhalten, müssen Sie die Bereichsnamen austauschen.

   # cat /etc/krb5/krb5.conf
   [libdefaults]
    .
    .
   [capaths]
       ENG.EAST.EXAMPLE.COM = {
           SALES.WEST.EXAMPLE.COM = .
       }
   
       SALES.WEST.EXAMPLE.COM = {
            ENG.EAST.EXAMPLE.COM = .
       }

4. Kopieren Sie die Kerberos-Konfigurationsdatei auf alle Clients im aktuellen Bereich.

   Damit die bereichsübergreifende Authentifizierung funktioniert, muss auf allen Systemen (einschließlich des Slave-KDCs und anderer Server) die neue Version der Kerberos-Konfigurationsdatei (/etc/krb5/krb5.conf) installiert sein.

5. Wiederholen Sie diese Schritte im zweiten Bereich.