Configuration des serveurs d'application réseau Kerberos

Les serveurs d'application réseau sont des hôtes fournissant un accès à l'aide d'une ou plusieurs applications réseau parmi les suivantes : ftp, rcp, rlogin, rsh, ssh et telnet. Seules quelques étapes sont nécessaires pour activer la version Kerberos de ces commandes sur un serveur.

Procédure de configuration d'un serveur d'application réseau Kerberos

Cette procédure utilise les paramètres de configuration ci-dessous :

• Serveur d'application = boston

• admin principal = kws/admin

• Nom de domaine DNS = example.com

• Nom de domaine = EXAMPLE.COM

Avant de commencer

Cette procédure nécessite que le KDC maître ait été configuré. Pour tester complètement le processus, plusieurs clients Kerberos doivent être configurés.

1. (Facultatif) Installez le client NTP ou un autre mécanisme de synchronisation d'horloge.

   Pour plus d'informations sur le protocole NTP, reportez-vous à la section Synchronisation des horloges entre les KDC et les clients Kerberos.

2. Ajoutez des principaux pour le nouveau serveur et mettez à jour le fichier keytab du serveur.

   La commande suivante indique l'existence de l'hôte principal :

   boston # klist -k |grep host
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM
   4 host/boston.example.com@EXAMPLE.COM

   Si la commande ne renvoie pas de principal, créez de nouveaux comptes utilisateur en suivant les étapes ci-dessous.

   L'utilisation de l'outil d'administration graphique Kerberos pour ajouter un principal est expliquée à la section Création d'un principal Kerberos. L'exemple dans les étapes suivantes montre comment ajouter les principaux requis à l'aide de la ligne de commande. Vous devez vous connecter à l'aide de l'un des noms de principal admin que vous avez créé lors de la configuration du KDC maître.

   boston # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: 

   1. Créez l'host principal du serveur.

      L'host principal est utilisé :

      • pour authentifier le trafic lors de l'utilisation des commandes à distance, comme rsh et ssh ;

      • par pam_krb5 afin d'empêcher les attaques par mystification de KDC en utilisant l'host principal pour vérifier que les informations d'identification Kerberos d'un utilisateur ont été obtenues auprès d'un KDC de confiance ;

      • pour autoriser l'utilisateur root à acquérir automatiquement des informations d'identification Kerberos en l'absence d'un principal root. Cela peut être utile lors d'un montage NFS manuel où le partage requiert des informations d'identification Kerberos.

      Ce principal est obligatoire si le trafic qui utilise l'application distante doit être authentifié à l'aide du service Kerberos. Si le serveur a plusieurs noms d'hôte associés, créez un principal pour chaque nom d'hôte sous la forme de nom de domaine complet(FQDN) du nom d'hôte.

      kadmin: addprinc -randkey host/boston.example.com
      Principal "host/boston.example.com" created.
      kadmin: 

   2. Ajoutez l'host principal du serveur au fichier keytab du serveur.

      Si la commande kadmin n'est pas en cours d'exécution, redémarrez-la avec une commande similaire à la suivante : /usr/sbin/kadmin -p kws/admin .

      Si le serveur a plusieurs noms d'hôte associés, ajoutez un principal au fichier keytab de chaque nom d'hôte.

      kadmin: ktadd host/boston.example.com
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-256 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type AES-128 CTS mode
                with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type Triple DES cbc
                mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type ArcFour
                with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      Entry for principal host/boston.example.com with kvno 3, encryption type DES cbc mode
                with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
      kadmin:

   3. Quittez kadmin.

      kadmin: quit