Configuration de l'authentification inter-domaine

Il existe plusieurs manières de relier les domaines pour que les utilisateurs d'un domaine puissent être authentifiés dans un autre domaine. L'authentification inter-domaine est réalisée par la mise en place d'une clé secrète partagée par les deux domaines. La relation entre les domaines peut être hiérarchique ou directionnelle (voir Hiérarchie des domaines).

Procédure d'établissement de l'authentification inter-domaine hiérarchique

L'exemple de cette procédure utilise deux domaines, ENG.EAST.EXAMPLE.COM et EAST.EXAMPLE.COM. L'authentification inter-domaine est établie dans les deux directions. Cette procédure doit être effectuée sur le KDC maître dans les deux domaines.

Avant de commencer

Le KDC maître de chaque domaine doit être configuré. Pour tester complètement le processus d'authentification, plusieurs clients Kerberos doivent être configurés.

1. Connectez-vous en tant que superutilisateur au premier KDC maître.
2. Créez des principaux de service de TGT pour les deux domaines.

   Vous devez vous connecter à l'aide de l'un des noms de principal admin que vous avez créé lorsque vous avez configuré le KDC maître.

   # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM
   Enter password for principal krgtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM: <Type password>
   kadmin: addprinc krbtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
   Enter password for principal krgtgt/EAST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type password>
   kadmin: quit

   ---

   Remarque - Le mot de passe que vous avez spécifié pour chaque service de principal doit être identique dans les deux KDC. Par conséquent, le mot de passe pour le service principal krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM doit être le même dans les deux domaines.

   ---

3. Ajoutez des entrées dans le fichier de configuration Kerberos (krb5.conf) pour définir les noms de domaine pour chaque domaine.

   # cat /etc/krb5/krb5.conf
   [libdefaults]
    .
    .
   [domain_realm]
           .eng.east.example.com = ENG.EAST.EXAMPLE.COM
           .east.example.com = EAST.EXAMPLE.COM

   Dans cet exemple, les noms de domaine pour ENG.EAST.EXAMPLE.COM et EAST.EXAMPLE.COM sont définis. Il est important d'inclure d'abord le sous-domaine, parce que la recherche dans le fichier s'effectue du haut vers le bas.

4. Copiez le fichier de configuration Kerberos pour tous les clients dans ce domaine.

   Pour que l'authentification inter-domaine fonctionne, la nouvelle version du fichier de configuration Kerberos (/etc/krb5/krb5.conf ) doit être installée sur tous les systèmes (y compris les KDC esclaves et les autres serveurs).

5. Répétez toutes ces étapes dans le second domaine.

Procédure d'établissement de l'authentification inter-domaine directe

L'exemple de cette procédure utilise deux domaines, ENG.EAST.EXAMPLE.COM et SALES.WEST.EXAMPLE.COM. L'authentification inter-domaine est établie dans les deux directions. Cette procédure doit être effectuée sur le KDC maître dans les deux domaines.

Avant de commencer

Le KDC maître de chaque domaine doit être configuré. Pour tester complètement le processus d'authentification, plusieurs clients Kerberos doivent être configurés.

1. Connectez-vous en tant que superutilisateur à l'un des serveurs KDC maîtres.
2. Créez des principaux de service de TGT pour les deux domaines.

   Vous devez vous connecter à l'aide de l'un des noms de principal admin que vous avez créé lorsque vous avez configuré le KDC maître.

   # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: addprinc krbtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM
   Enter password for principal 
     krgtgt/ENG.EAST.EXAMPLE.COM@SALES.WEST.EXAMPLE.COM: <Type the password>
   kadmin: addprinc krbtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM
   Enter password for principal 
     krgtgt/SALES.WEST.EXAMPLE.COM@ENG.EAST.EXAMPLE.COM: <Type the password>
   kadmin: quit

   ---

   Remarque - Le mot de passe que vous avez spécifié pour chaque service de principal doit être identique dans les deux KDC. Par conséquent, le mot de passe pour le service principal krbtgt/ENG.EAST.EXAMPLE.COM@EAST.EXAMPLE.COM doit être identique dans les deux domaines.

   ---

3. Ajoutez des entrées dans le fichier de configuration Kerberos pour définir le chemin d'accès direct au domaine distant.

   Cet exemple représente les clients dans le domaine ENG.EAST.EXAMPLE.COM. Vous pourriez avoir besoin de changer le nom de domaine pour obtenir les définitions adéquates dans le domaine SALES.WEST.EXAMPLE.COM.

   # cat /etc/krb5/krb5.conf
   [libdefaults]
    .
    .
   [capaths]
       ENG.EAST.EXAMPLE.COM = {
           SALES.WEST.EXAMPLE.COM = .
       }
   
       SALES.WEST.EXAMPLE.COM = {
            ENG.EAST.EXAMPLE.COM = .
       }

4. Copiez le fichier de configuration Kerberos pour tous les clients dans le domaine actuel.

   Pour que l'authentification inter-domaine fonctionne, la nouvelle version du fichier de configuration Kerberos (/etc/krb5/krb5.conf ) doit être installée sur tous les systèmes (y compris les KDC esclaves et les autres serveurs).

5. Répétez toutes ces étapes pour le second domaine.