Kerberos-Fehlerbehebung

Dieser Abschnitt enthält Informationen zur Fehlerbehebung für die Kerberos-Software.

Probleme mit dem Format der Datei krb5.conf

Wenn die Datei krb5.conf nicht ordnungsgemäß formatiert wurde, wird auf dem Terminal oder in der Protokolldatei gegebenenfalls folgende Fehlermeldung angezeigt:

Improper format of Kerberos configuration file while initializing krb5 library

Wenn ein Problem mit dem Format der Datei krb5.conf besteht, sind die entsprechenden Services für Angriffe anfällig. Sie sollten dieses Problem beheben, bevor Sie die Verwendung von Kerberos-Funktionen zulassen.

Probleme bei der Weitergabe der Kerberos-Datenbank

Wenn die Weitergabe der Kerberos-Datenbank fehlschlägt, versuchen Sie /usr/bin/rlogin -x zwischen dem Slave-KDC und dem Master-KDC sowie vom Master- zum Slave-KDC-Server.

Wurden die KDCs so eingerichtet, dass sie den Zugriff einschränken, ist rlogin deaktiviert und kann nicht zur Behebung dieses Problems verwendet werden. Zum Aktivieren von rlogin auf einem KDC müssen Sie den Service eklogin aktivieren.

# svcadm enable svc:/network/login:eklogin

Nachdem Sie das Problem behoben haben, müssen Sie den Service eklogin deaktivieren.

Wenn rlogin nicht funktioniert, hängen die Probleme vermutlich mit den Schlüsseltabellendateien auf den KDCs zusammen. Wenn rlogin funktioniert, liegt das Problem nicht in der Schlüsseltabellendatei oder dem Name Service, da rlogin und die Software für die Weitergabe dasselbe host/ host-name-Hauptelement verwenden. Stellen Sie in diesem Fall sicher, dass die Datei kpropd.acl korrekt ist.

Probleme beim Einhängen eines kerberisierten NFS-Dateisystems

• Schlägt das Einhängen eines kerberisierten NFS-Dateisystems fehl, vergewissern Sie sich, dass die Datei /var/rcache/root auf dem NFS-Server vorhanden ist. Wenn root nicht Eigentümer des Dateisystems ist, entfernen Sie es und versuchen Sie den Einhängevorgang erneut.

• Tritt beim Zugriff auf ein kerberisiertes NFS-Dateisystem ein Problem auf, stellen Sie sicher, dass der Service gssd auf Ihrem System und auf dem NFS-Server aktiviert ist.

• Wird beim Versuch, auf ein kerberisiertes NFS-Dateisystem zuzugreifen, entweder die Fehlermeldung invalid argument oder bad directory angezeigt, könnte das Problem darin bestehen, dass Sie zum Einhängen des NFS-Dateisystems keinen vollständig qualifizierten DNS-Namen verwenden. Der eingehängte Host entspricht nicht dem Hostnamenteil des Service-Hauptelements in der Schlüsseltabellendatei des Servers.

  Dieses Problem kann auch dann auftreten, wenn Ihr Server über mehrere Ethernet-Schnittstellen verfügt und Sie DNS für die Verwendung eines Schemas eingerichtet haben, das einen Namen pro Schnittstelle vorsieht, anstelle eines Schemas, das auf dem Prinzip mehrerer Adressdatensätze pro Host basiert. Für den Kerberos-Service sollten Sie mehrere Adressdatensätze pro Host einrichten, wie nachfolgend dargestelltKen Hornstein, "Kerberos FAQ," [http://www.cmf.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html#kerbdns], accessed 10 March 2010.:

  my.host.name.   A       1.2.3.4
                  A       1.2.4.4
                  A       1.2.5.4
  
  my-en0.host.name.       A       1.2.3.4
  my-en1.host.name.       A       1.2.4.4
  my-en2.host.name.       A       1.2.5.4
  
  4.3.2.1         PTR     my.host.name.
  4.4.2.1         PTR     my.host.name.
  4.5.2.1         PTR     my.host.name.

In diesem Beispiel ermöglicht das Setup eine Referenz auf die verschiedenen Schnittstellen und ein einziges Service-Hauptelement anstelle von drei Service-Hauptelementen in der Schlüsseltabellendatei des Servers.

Probleme beim Authentifizieren als root

Schlägt die Authentifizierung fehl, wenn Sie sich als Superuser bei Ihrem System anmelden und das root-Hauptelement bereits der Schlüsseltabellendatei Ihres Hosts hinzugefügt haben, kann dies mit zwei potenziellen Problemen zusammenhängen. Vergewissern Sie sich zunächst, dass das root-Hauptelement in der Schlüsseltabellendatei einen vollständig qualifizierten Hostnamen als zugehörige Instanz aufweist. Ist dies der Fall, überprüfen Sie die Datei /etc/resolv.conf, um sicherzustellen, dass das System korrekt als DNS-Client eingerichtet ist.

Überwachen der Zuordnungen von GSS-Berechtigungsnachweisen zu UNIX-Berechtigungsnachweisen

Um die Zuordnungen von Berechtigungsnachweisen überwachen zu können, entfernen Sie zunächst die Auskommentierung dieser Zeile in der Datei /etc/gss/gsscred.conf.

SYSLOG_UID_MAPPING=yes

Weisen Sie anschließend den Service gssd an, Informationen aus der Datei /etc/gss/gsscred.conf abzurufen.

# pkill -HUP gssd

Jetzt sollten Sie in der Lage sein, die Zuordnungen der Berechtigungsnachweise zu überwachen, wenn gssd sie anfordert. Die Zuordnungen werden von syslogd aufgezeichnet, wenn die Datei syslog.conf für die Systemfunktion auth mit dem Schweregrad debug konfiguriert ist.