Teil I Übersicht über die Sicherheit
1. Sicherheitsservices (Überblick)
Teil II System-, Datei- und Gerätesicherheit
2. Verwalten von Rechnersicherheit (Übersicht)
3. Steuern des Zugriffs auf Systeme (Aufgaben)
4. Steuern des Zugriffs auf Geräte (Aufgaben)
5. Verwenden von Basic Audit Reporting Tool (Aufgaben)
6. Steuern des Zugriffs auf Dateien (Aufgaben)
7. Verwenden von Automated Security Enhancement Tool (Aufgaben)
Teil III Rollen, Berechtigungsprofile und Berechtigungen
8. Verwenden von Rollen und Berechtigungen (Übersicht)
9. Rollenbasierte Zugriffssteuerung (Aufgaben)
10. Rollenbasierte Zugriffssteuerung (Übersicht)
Teil IV Kryptografische Services
13. Oracle Solaris Cryptographic Framework (Übersicht)
14. Oracle Solaris Cryptographic Framework (Aufgaben)
15. Oracle Solaris Key Management Framework
Teil V Authentifizierungsservices und sichere Kommunikation
16. Verwenden von Authentifizierungsservices (Aufgaben)
19. Verwenden von Oracle Solaris Secure Shell (Aufgaben)
20. Oracle Solaris Secure Shell (Referenz)
21. Einführung zum Kerberos-Service
22. Planen des Kerberos-Service
23. Konfigurieren des Kerberos-Service (Aufgaben)
Konfigurieren des Kerberos-Service (Übersicht der Schritte)
Konfigurieren zusätzlicher Kerberos-Services (Übersicht der Schritte)
So konfigurieren Sie ein Master-KDC manuell
So konfigurieren Sie ein KDC zur Verwendung eines LDAP-Datenservers
So konfigurieren Sie ein Slave-KDC manuell
So aktualisieren Sie die Ticket Granting Service-Schlüssel auf einem Master-Server
Konfigurieren von bereichsübergreifender Authentifizierung
So richten Sie eine hierarchische bereichsübergreifende Authentifizierung ein
So richten Sie eine direkte bereichsübergreifende Authentifizierung ein
Konfigurieren von Kerberos-Netzwerkanwendungsservern
So konfigurieren Sie einen Kerberos-Netzwerkanwendungsserver
Konfigurieren von Kerberos-NFS-Servern
So konfigurieren Sie Kerberos-NFS-Server
So erstellen Sie eine Berechtigungsnachweistabelle
So fügen Sie der Berechtigungstabelle einen einzelnen Eintrag hinzu
So ordnen Sie Berechtigungsnachweise zwischen Bereichen zu
So richten Sie eine sichere NFS-Umgebung mit mehreren Kerberos-Sicherheitsmodi ein
Konfigurieren von Kerberos-Clients
Konfigurieren von Kerberos-Clients (Übersicht der Schritte)
So erstellen Sie ein Kerberos-Clientinstallationsprofil
So konfigurieren Sie einen Kerberos-Client automatisch
So konfigurieren Sie einen Kerberos-Client interaktiv
So konfigurieren Sie einen Kerberos-Client manuell
So deaktivieren Sie die Überprüfung des TGT (Ticket Granting Ticket)
So greifen Sie auf ein durch Kerberos geschütztes NFS-Dateisystem als root-Benutzer zu
So konfigurieren Sie eine automatische Migration von Benutzern in einem Kerberos-Bereich
Synchronisieren von Uhren zwischen KDCs und Kerberos-Clients
Austauschen von Master-KDC und Slave-KDC
So konfigurieren Sie ein austauschbares Slave-KDC
So tauschen Sie ein Master-KDC gegen ein Slave-KDC aus
Verwalten der Kerberos-Datenbank
Backup und Weitergabe der Kerberos-Datenbank
So erstellen Sie ein Backup der Kerberos-Datenbank
So stellen Sie die Kerberos-Datenbank wieder her
So konvertieren Sie eine Kerberos-Datenbank nach einem Server-Upgrade
So konfigurieren Sie ein Master-KDC zur Verwendung der inkrementellen Weitergabe
So konfigurieren Sie ein Slave-KDC zur Verwendung der inkrementellen Weitergabe
So konfigurieren Sie ein Slave-KDC zur Verwendung der vollständigen Weitergabe
So überprüfen Sie die Synchronisierung der KDC-Server
So führen Sie eine manuelle Weitergabe der Kerberos-Datenbank an Slave-KDCs durch
Einrichten von paralleler Weitergabe
Konfigurationsschritte zum Einrichten einer parallelen Weitergabe
So entfernen Sie eine Stash-Datei
Verwalten eines KDC auf einem LDAP-Verzeichnisserver
So löschen Sie einen Bereich auf einem LDAP-Verzeichnisserver
Erhöhen der Sicherheit auf Kerberos-Servern
So aktivieren Sie nur kerberisierte Anwendungen
So beschränken Sie den Zugriff auf KDC-Server
So verwenden Sie eine Wörterbuchdatei zur Erhöhung der Passwortsicherheit
24. Kerberos-Fehlermeldungen und -Fehlerbehebung
25. Verwalten von Kerberos-Hauptelementen und Richtlinien (Aufgaben)
26. Verwenden von Kerberos-Anwendungen (Aufgaben)
27. Der Kerberos-Service (Referenz)
Teil VII Prüfung bei Oracle Solaris
28. Prüfung bei Oracle Solaris (Übersicht)
29. Planen der Oracle Solaris-Prüfung
30. Verwalten der Oracle Solaris-Prüfung (Aufgaben)
NFS-Services identifizieren Benutzer anhand von UNIX-Benutzer-IDs (UIDs) und können GSS-Berechtigungsnachweise nicht direkt verwenden. Um Berechtigungsnachweise in UIDs umzuwandeln, muss möglicherweise eine Tabelle erstellt werden, in der Berechtigungsnachweise von Benutzern den entsprechenden UNIX-UIDs zugeordnet werden. Weitere Informationen zur Standardzuordnung von Berechtigungsnachweisen finden Sie unter Zuordnen von GGS-Berechtigungsnachweisen zu UNIX-Berechtigungsnachweisen. Bei den Verfahren in diesem Abschnitt liegt der Schwerpunkt auf den Aufgaben, die zur Konfiguration eines Kerberos-NFS-Servers, zur Verwaltung der Berechtigungsnachweistabelle und zum Starten der Kerberos-Sicherheitsmodi für über NFS eingehängte Dateisysteme notwendig sind. In der folgenden Übersicht der Schritte werden die Aufgaben in diesem Abschnitt beschrieben.
Tabelle 23-2 Konfigurieren von Kerberos-NFS-Servern (Übersicht der Schritte)
|
In diesem Verfahren werden die folgenden Konfigurationsparameter verwendet:
Realm name = EXAMPLE.COM
DNS-Domainname = example.com
NFS-Server = denver.example.com
admin-Hauptelement = kws/admin
Das Master-KDC muss konfiguriert sein. Für einen vollständigen Test des Prozesses sind mehrere Clients erforderlich.
Die Installation und Verwendung des Network Time Protocol (NTP) ist nicht obligatorisch. Damit die Authentifizierung erfolgreich ist, müssen alle Uhren mit der Uhrzeit auf dem KDC-Server synchronisiert sein, wobei die maximale Abweichung durch die clockskew-Beziehung in der Datei krb5.conf definiert wird. Informationen zu NTP finden Sie unter Synchronisieren von Uhren zwischen KDCs und Kerberos-Clients.
Befolgen Sie die Anweisungen unter Konfigurieren von Kerberos-Clients.
Sie können das Graphical Kerberos Administration Tool verwenden, wie unter So erstellen Sie ein neues Kerberos-Hauptelement erläutert. Dazu müssen Sie sich mit einem der zuvor bei der Konfiguration des Master-KDC erstellten admin-Hauptelementnamen anmelden. In dem folgenden Beispiel wird gezeigt, wie die erforderlichen Hauptelemente mithilfe der Befehlszeile hinzufügt werden.
denver # /usr/sbin/kadmin -p kws/admin Enter password: <Type kws/admin password> kadmin:
Wenn die Hauptelementinstanz ein Hostname ist, muss der FQDN unabhängig von der Schreibung des Domainnamens in der Datei /etc/resolv.conf in Kleinbuchstaben angegeben werden.
Wiederholen Sie diesen Schritt für jede eindeutige Schnittstelle im System, die für den Zugriff auf NFS-Daten verwendet werden könnte. Wenn ein Host mehrere Schnittstellen mit eindeutigen Namen aufweist, muss jeder eindeutige Name über ein eigenes NFS-Service-Hauptelement verfügen.
kadmin: addprinc -randkey nfs/denver.example.com Principal "nfs/denver.example.com" created. kadmin:
Wiederholen Sie diesen Schritt für jedes eindeutige in Schritt a erstellte Service-Hauptelement.
kadmin: ktadd nfs/denver.example.com Entry for principal nfs/denver.example.com with kvno 3, encryption type AES-256 CTS mode with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab. Entry for principal nfs/denver.example.com with kvno 3, encryption type AES-128 CTS mode with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab. Entry for principal nfs/denver.example.com with kvno 3, encryption type Triple DES cbc mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab. Entry for principal nfs denver.example.com with kvno 3, encryption type ArcFour with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab. Entry for principal nfs/denver.example.com with kvno 3, encryption type DES cbc mode with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab. kadmin:
kadmin: quit
Normalerweise generiert der Kerberos-Service geeignete Zuordnungen zwischen den GSS-Berechtigungsnachweisen und den UNIX-UIDs. Die Standardzuordnung wird in Zuordnen von GGS-Berechtigungsnachweisen zu UNIX-Berechtigungsnachweisen beschrieben. Wenn die Standardzuordnung nicht ausreicht, finden Sie weitere Informationen unter So erstellen Sie eine Berechtigungsnachweistabelle.
Weitere Informationen finden Sie unter So richten Sie eine sichere NFS-Umgebung mit mehreren Kerberos-Sicherheitsmodi ein.
Die Berechtigungsnachweistabelle gsscred wird von einem NFS-Server verwendet, um Kerberos-Berechtigungsnachweise UIDs zuzuordnen. Standardmäßig wird der Primärteil des Hauptelementnamens einem UNIX-Anmeldenamen zugeordnet. Diese Tabelle muss erstellt werden, wenn die Standardzuordnung nicht ausreicht, damit NFS-Clients Dateisysteme von einem NFS-Server mit Kerberos-Authentifizierung einhängen können.
Ändern Sie den Mechanismus in files.
# gsscred -m kerberos_v5 -a
Der Befehl gsscred sammelt Informationen aus allen Quellen, die für den passwd-Eintrag in der Datei /etc/nsswitch.conf angegeben sind. Möglicherweise müssen Sie den Eintrag files vorübergehend entfernen, wenn die lokalen Passworteinträge nicht in die Berechtigungsnachweistabelle eingeschlossen werden sollen. Weitere Informationen finden Sie auf der Manpage gsscred(1M).
Bevor Sie beginnen
Voraussetzung für dieses Verfahren ist, dass die Tabelle gsscred bereits auf dem NFS-Server erstellt wurde. Anweisungen finden Sie unter So erstellen Sie eine Berechtigungsnachweistabelle.
# gsscred -m mech [ -n name [ -u uid ]] -a
Definiert den zu verwendenden Sicherheitsmechanismus
Definiert den Hauptelementnamen des Benutzers, wie im KDC angegeben
Definiert die UID des Benutzers, wie in der Passwortdatenbank angegeben
Fügt die UID der Hauptelement-Zuordnung zu
Beispiel 23-2 Hinzufügen eines Hauptelements mit mehreren Komponenten zur Berechtigungsnachweistabelle
In dem folgenden Beispiel wird ein Eintrag für ein Hauptelement namens sandy/admin hinzugefügt, das UID 3736 zugeordnet wird.
# gsscred -m kerberos_v5 -n sandy/admin -u 3736 -a
Beispiel 23-3 Hinzufügen eines Hauptelements in einer anderen Domain zur Berechtigungsnachweistabelle
In dem folgenden Beispiel wird ein Eintrag für ein Hauptelement namens sandy/admin@EXAMPLE.COM hinzugefügt, das UID 3736 zugeordnet wird.
# gsscred -m kerberos_v5 -n sandy/admin@EXAMPLE.COM -u 3736 -a
Dieses Verfahren ermöglicht die Zuordnung der Berechtigungsnachweise von zwei Bereichen, die die gleiche Passwortdatei verwenden. In diesem Beispiel verwenden CORP.EXAMPLE.COM und SALES.EXAMPLE.COM die gleiche Passwortdatei. Die Berechtigungsnachweise für bob@CORP.EXAMPLE.COM und bob@SALES.EXAMPLE.COM werden der gleichen UID zugewiesen.
# cat /etc/krb5/krb5.conf [libdefaults] default_realm = CORP.EXAMPLE.COM . [realms] CORP.EXAMPLE.COM = { . auth_to_local_realm = SALES.EXAMPLE.COM . }
Beispiel 23-4 Zuweisen von Berechtigungsnachweisen zwischen Bereichen mithilfe der gleichen Passwortdatei
Dieses Beispiel zeigt eine geeignete Zuordnung von Berechtigungsnachweisen zweier Bereiche, die die gleiche Passwortdatei verwenden. In diesem Beispiel verwenden CORP.EXAMPLE.COM und SALES.EXAMPLE.COM die gleiche Passwortdatei. Die Berechtigungsnachweise für bob@CORP.EXAMPLE.COM und bob@SALES.EXAMPLE.COM werden der gleichen UID zugewiesen. Fügen Sie auf dem Clientsystem der Datei krb5.conf Einträge hinzu.
# cat /etc/krb5/krb5.conf [libdefaults] default_realm = CORP.EXAMPLE.COM . [realms] CORP.EXAMPLE.COM = { . auth_to_local_realm = SALES.EXAMPLE.COM . }
Allgemeine Fehler
Informationen zur Fehlerbehebung bei der Zuordnung von Berechtigungsnachweisen finden Sie unter Überwachen der Zuordnungen von GSS-Berechtigungsnachweisen zu UNIX-Berechtigungsnachweisen.
Durch dieses Verfahren kann ein NFS-Server sicheren NFS-Zugriff unter Verwendung verschiedener Sicherheitsmodi oder -varianten bieten. Wenn ein Client eine Sicherheitsvariante mit dem NFS-Server aushandelt, wird die erste vom Server angebotene Variante, auf die der Client Zugriff hat, verwendet. Diese Variante wird für alle nachfolgenden Clientanforderungen des Dateisystems verwendet, das vom NFS-Server zur gemeinsamen Nutzung freigegeben wird.
Mit dem Befehl klist stellen Sie fest, ob eine Schlüsseltabellendatei vorhanden ist und zeigen die Hauptelemente an. Wenn keine Schlüsseltabellendatei oder kein NFS-Service-Hauptelement vorhanden ist, müssen Sie überprüfen, ob alle unter So konfigurieren Sie Kerberos-NFS-Server beschriebenen Schritte ausgeführt wurden.
# klist -k Keytab name: FILE:/etc/krb5/krb5.keytab KVNO Principal ---- --------------------------------------------------------- 3 nfs/denver.example.com@EXAMPLE.COM 3 nfs/denver.example.com@EXAMPLE.COM 3 nfs/denver.example.com@EXAMPLE.COM 3 nfs/denver.example.com@EXAMPLE.COM
Bearbeiten Sie die Datei /etc/nfssec.conf und entfernen Sie das "#" vor den Kerberos-Sicherheitsmodi.
# cat /etc/nfssec.conf . . # # Uncomment the following lines to use Kerberos V5 with NFS # krb5 390003 kerberos_v5 default - # RPCSEC_GSS krb5i 390004 kerberos_v5 default integrity # RPCSEC_GSS krb5p 390005 kerberos_v5 default privacy # RPCSEC_GSS
share -F nfs -o sec=mode file-system
Gibt die zu verwendenden Sicherheitsmodi an, wenn das Dateisystem freigegeben wird. Wenn Sie mehrere Sicherheitsmodi verwenden, ist der erste Modus in der Liste der Standardmodus.
Definiert den Pfad des Dateisystems, das gemeinsam genutzt werden soll.
Für alle Clients, die auf Dateien des genannten Dateisystems zugreifen, ist eine Kerberos-Authentifizierung erforderlich. Um auf die Dateien zuzugreifen, muss das Benutzer-Hauptelement auf dem NFS-Client authentifiziert werden.
Wenn dieser Befehl der erste share-Befehl oder Satz von share-Befehlen ist, den Sie initiiert haben, werden die NFS-Dämonen wahrscheinlich nicht ausgeführt. Die Dämonen werden mit dem folgenden Befehl neu gestartet:
# svcadm restart network/nfs/server
Sie müssen dieses Verfahren nicht ausführen, wenn Sie den Automounter nicht für den Zugriff auf das Dateisystem verwenden oder der standardmäßige Sicherheitsmodus akzeptabel ist.
file-system auto_home -nosuid,sec=mode
Sie können den Befehl mount auch zur Angabe des Sicherheitsmodus verwenden, in diesem Fall wird jedoch der Automounter nicht genutzt.
# mount -F nfs -o sec=mode file-system
Beispiel 23-5 Freigabe eines Dateisystems mit einem Kerberos-Sicherheitsmodus
In diesem Beispiel bedeutet die Zeile mit der Angabe dfstab, dass die Kerberos-Authentifizierung erfolgreich sein muss, bevor über den NFS-Service auf Dateien zugegriffen werden kann.
# grep krb /etc/dfs/dfstab share -F nfs -o sec=krb5 /export/home
Beispiel 23-6 Freigabe eines Dateisystems mit mehren Kerberos-Sicherheitsmodi
In diesem Beispiel wurden alle drei Kerberos-Sicherheitsmodi ausgewählt. Welcher Modus verwendet wird, muss zwischen Client und NFS-Server ausgehandelt werden. Wenn der erste Modus im Befehl fehlschlägt, wird der nächste getestet. Weitere Informationen finden Sie auf der Manpage nfssec(5).
# grep krb /etc/dfs/dfstab share -F nfs -o sec=krb5:krb5i:krb5p /export/home