Nombres de principal de servicio y cliente

Cuando se utiliza el servicio Kerberos, DNS debe estar habilitado en todos los hosts. Con DNS, el principal debe contener el nombre de dominio completo (FQDN) de cada host. Por ejemplo, si el nombre de host es boston, el nombre de dominio DNS es example.com y el nombre de dominio es EXAMPLE.COM, entonces el nombre de principal para el host debe ser host/boston.example.com@EXAMPLE.COM. Los ejemplos de este manual requieren que DNS esté configurado y el uso de FQDN para cada host.

El servicio Kerberos pone en forma canónica nombres de alias de host a través de DNS y utiliza la forma canónica (cname) al construir el principal de servicio para el servicio asociado. Por lo tanto al crear un principal de servicio, el componente de nombre de host de nombres de principal de servicio debe ser la forma canónica del nombre de host del sistema donde se aloja el servicio.

A continuación, se muestra un ejemplo de cómo el servicio Kerberos pone en forma canónica el nombre de host. Si un usuario ejecuta el comando "ssh alpha.example.com" donde alpha.example.com es un alias de host DNS para el cname beta.example.com. Cuando ssh llama a Kerberos y solicita un ticket de servicio de host para alpha.example.com, el servicio Kerberos pone en forma canónica alpha.example.com a beta.example.com y solicita un ticket para el principal de servicio “host/beta.example.com” desde el KDC.

Para los nombres de principal que incluyen el FQDN de un host, es importante hacer coincidir la cadena que describe el nombre de dominio DNS en el archivo /etc/resolv.conf. El servicio Kerberos requiere que el nombre de dominio DNS esté en letras minúsculas cuando se especifica el FQDN para un principal. El nombre de dominio DNS puede incluir letras mayúsculas y minúsculas, pero sólo utilice letras minúsculas cuando cree un principal de host. Por ejemplo, no importa si el nombre de dominio DNS es example.com, Example.COM o cualquier otra variación. El nombre de principal para el host seguiría siendo host/boston.example.com@EXAMPLE.COM.

Además, la utilidad de gestión de servicios se ha configurado de modo que muchos de los daemons o comandos no se inicien si el servicio de cliente DNS no está en ejecución. Los daemons kdb5_util, kadmind y kpropd, como también el comando kprop están todos configurados según el servicio DNS. Para utilizar completamente las funciones disponibles mediante el servicio Kerberos y SMF, debe habilitar el servicio de cliente DNS en todos los hosts.