在 LDAP 目录服务器上管理 KDC

大多数使用 LDAP 目录服务器管理 KDC 的任务与使用 DB2 服务器相同。不过有一些特定于使用 LDAP 的新任务。

表 23-3 配置 KDC 服务器以使用 LDAP（任务列表）

如何在非 Kerberos 对象类类型中混合 Kerberos 主体属性

此过程允许 Kerberos 主体属性与非 Kerberos 对象类类型关联。在该过程中，krbprincipalaux、krbTicketPolicyAux 和 krbPrincipalName 属性都与 people 对象类关联。

此过程中使用以下配置参数：

• 目录服务器 = dsserver.example.com

• 用户主体 = willf@EXAMPLE.COM

1. 成为超级用户。
2. 准备 people 对象类中的每一项。

   对每一项重复此步骤。

   cat << EOF | ldapmodify -h dsserver.example.com -D "cn=directory manager"
   dn: uid=willf,ou=people,dc=example,dc=com
   changetype: modify
   objectClass: krbprincipalaux
   objectClass: krbTicketPolicyAux
   krbPrincipalName: willf@EXAMPLE.COM
   EOF

3. 将一个子树属性添加到领域容器。

   此步骤允许在 ou=people,dc=example,dc=com 容器和缺省 EXAMPLE.COM 容器中搜索主体项。

   # kdb5_ldap_util -D "cn=directory manager" modify \
               -subtrees 'ou=people,dc=example,dc=com' -r EXAMPLE.COM

4. 可选如果 KDC 记录存储在 DB2 中，迁移 DB2 项。
   1. 转储 DB2 项。

      # kdb5_util dump > dumpfile

   2. 将数据库装入 LDAP 服务器。

      # kdb5_util load -update dumpfile

5. 可选将主体属性添加到 KDC。

   # kadmin.local -q 'addprinc willf'

如何在 LDAP 目录服务器上销毁领域

此过程可用于已经将其他 LDAP 目录服务器配置为处理领域的情况。

1. 成为超级用户。
2. 销毁领域。

   # kdb5_ldap_util -D "cn=directory manager" destroy