Echange d'un KDC maître et d'un KDC esclave

Vous devez utiliser les procédures décrites dans cette section pour faciliter l'échange d'un KDC maître et d'un KDC esclave. Vous devez remplacer le KDC maître par un KDC esclave uniquement si le serveur du KDC maître est en panne pour une raison quelconque, ou si le KDC maître doit être réinstallé (par exemple, en cas d'installation de nouveau matériel).

Configuration d'un KDC échangeable

Effectuez cette procédure sur le serveur KDC esclave que vous souhaitez libérez pour devenir le KDC maître. Cette procédure suppose que vous utilisez la propagation incrémentielle.

Avant de commencer

Vous devez prendre le rôle root. Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d'administration.

1. Utilisez les noms d'alias pour le KDC maître et le KDC esclave échangeable pendant l'installation du KDC.

   Lorsque vous définissez les noms d'hôte des KDC, assurez-vous que chaque système possède un alias inclus dans le DNS. Vous pouvez également utiliser les noms d'alias lorsque vous définissez les hôtes dans le fichier /etc/krb5/krb5.conf.

2. Effectuez les étapes suivantes pour installer un KDC esclave.

   Avant tout échange, ce serveur doit fonctionner comme n'importe quel autre KDC esclave dans le domaine. Reportez-vous à la section Configuration manuelle d'un KDC esclave pour obtenir des instructions.

3. Déplacez les commandes de KDC maître.

   Pour empêcher les commandes du KDC maître d'être exécutées à partir de ce KDC esclave, déplacez les commandes kprop, kadmind et kadmin.local à un endroit réservé.

   kdc4 # mv /usr/lib/krb5/kprop /usr/lib/krb5/kprop.save
   kdc4 # mv /usr/lib/krb5/kadmind /usr/lib/krb5/kadmind.save
   kdc4 # mv /usr/sbin/kadmin.local /usr/sbin/kadmin.local.save

Echange d'un KDC maître et d'un KDC esclave

Dans cette procédure, le serveur de KDC maître échangé est appelé kdc1. Le KDC esclave qui devient le nouveau KDC maître est appelé kdc4. Cette procédure suppose que vous utilisez la propagation incrémentielle.

Avant de commencer

Cette procédure nécessite que le serveur de KDC esclave ait été défini en tant qu'esclave échangeable. Pour plus d'informations, reportez-vous à la section Configuration d'un KDC échangeable.

Vous devez prendre le rôle root. Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d'administration.

1. Sur le nouveau KDC maître, démarrez kadmin.

   kdc4 # /usr/sbin/kadmin -p kws/admin
   Enter password: <Type kws/admin password>
   kadmin: 

   1. Créez de nouveaux principaux pour le service kadmind.

      L'exemple suivant montre la première commande addprinc sur deux lignes, mais elle doit être saisie sur une seule ligne.

      kadmin: addprinc -randkey -allow_tgs_req +password_changing_service -clearpolicy \
             changepw/kdc4.example.com
      Principal "changepw/kdc4.example.com@ENG.SUN.COM" created.
      kadmin: addprinc -randkey -allow_tgs_req -clearpolicy kadmin/kdc4.example.com
      Principal "kadmin/kdc4.example.com@EXAMPLE.COM" created.
      kadmin: 

   2. Quittez kadmin.

      kadmin: quit

2. Sur le nouveau KDC maître, forcez la synchronisation.

   Les étapes suivantes forcent une mise à jour complète de KDC sur le serveur esclave.

   kdc4 # svcadm disable network/security/krb5kdc
   kdc4 # rm /var/krb5/principal.ulog

3. Sur le nouveau KDC maître, vérifiez que la mise à jour est terminée.

   kdc4 # /usr/sbin/kproplog -h

4. Sur le nouveau KDC maître, redémarrez le service KDC.

   kdc4 # svcadm enable -r network/security/krb5kdc

5. Sur le nouveau KDC maître, effacez le journal de mise à jour.

   Ces étapes réinitialisent le journal de mise à jour pour le nouveau serveur KDC maître.

   kdc4 # svcadm disable network/security/krb5kdc
   kdc4 # rm /var/krb5/principal.ulog

6. Sur l'ancien KDC maître, arrêtez les processus kadmind et krb5kdc.

   Lorsque vous interrompez le processus kadmind, vous empêchez toute modification apportée à la base de données KDC.

   kdc1 # svcadm disable network/security/kadmin
   kdc1 # svcadm disable network/security/krb5kdc

7. Sur l'ancien KDC maître, spécifiez la durée d'interrogation pour demander les propagations.

   Mettez en commentaire l'entrée sunw_dbprop_master_ulogsize du fichier /etc/krb5/kdc.conf et ajoutez une entrée définissant sunw_dbprop_slave_poll. L'entrée définit la durée d'interrogation sur deux minutes.

   kdc1 # cat /etc/krb5/kdc.conf
   [kdcdefaults]
           kdc_ports = 88,750
   
   [realms]
           EXAMPLE.COM= {
                   profile = /etc/krb5/krb5.conf
                   database_name = /var/krb5/principal
                   acl_file = /etc/krb5/kadm5.acl
                   kadmind_port = 749
                   max_life = 8h 0m 0s
                   max_renewable_life = 7d 0h 0m 0s
                   sunw_dbprop_enable = true
   #               sunw_dbprop_master_ulogsize = 1000
                   sunw_dbprop_slave_poll = 2m
           }

8. Sur l'ancien KDC maître, déplacez les commandes de KDC maître et le fichier kadm5.acl.

   Pour empêcher l'exécution des commandes de KDC maître, déplacez les commandes kprop, kadmind et kadmin.local à une place réservée.

   kdc1 # mv /usr/lib/krb5/kprop /usr/lib/krb5/kprop.save
   kdc1 # mv /usr/lib/krb5/kadmind /usr/lib/krb5/kadmind.save
   kdc1 # mv /usr/sbin/kadmin.local /usr/sbin/kadmin.local.save
   kdc1 # mv /etc/krb5/kadm5.acl /etc/krb5/kadm5.acl.save

9. Sur le serveur DNS, modifiez les noms d'alias du KDC maître.

   Pour changer de serveurs, modifiez le fichier de zone example.com et modifiez l'entrée pour masterkdc.

   masterkdc IN CNAME kdc4

10. Sur le serveur DNS, redémarrez le serveur de nom de domaine Internet.

    Exécutez la commande suivante pour recharger les nouvelles informations d'alias :

    # svcadm refresh network/dns/server

11. Sur le nouveau KDC maître, déplacez les commandes de KDC maître et le fichier esclave kpropd.acl.

    kdc4 # mv /usr/lib/krb5/kprop.save /usr/lib/krb5/kprop
    kdc4 # mv /usr/lib/krb5/kadmind.save /usr/lib/krb5/kadmind
    kdc4 # mv /usr/sbin/kadmin.local.save /usr/sbin/kadmin.local
    kdc4 # mv /etc/krb5/kpropd.acl /etc/krb5/kpropd.acl.save

12. Sur le nouveau KDC maître, créez le fichier d'ACL Kerberos (kadm5.acl).

    Une fois renseigné, le fichier /etc/krb5/kadm5.acl doit contenir tous les noms de principaux autorisés à administrer le KDC. Ce fichier doit également répertorier tous les esclaves qui émettent des demandes de propagation incrémentielle. Pour plus d'informations, reportez-vous à la page de manuel kadm5.acl(4).

    kdc4 # cat /etc/krb5/kadm5.acl
    kws/admin@EXAMPLE.COM   *
    kiprop/kdc1.example.com@EXAMPLE.COM p

13. Sur le nouveau KDC maître, spécifiez la taille de journal de mise à jour dans le fichier kdc.conf.

    Mettez en commentaire l'entrée sunw_dbprop_slave_poll et ajoutez une entrée définissant sunw_dbprop_master_ulogsize. L'entrée définit la taille du journal à 1000 entrées.

    kdc1 # cat /etc/krb5/kdc.conf
    [kdcdefaults]
            kdc_ports = 88,750
    
    [realms]
            EXAMPLE.COM= {
                    profile = /etc/krb5/krb5.conf
                    database_name = /var/krb5/principal
                    acl_file = /etc/krb5/kadm5.acl
                    kadmind_port = 749
                    max_life = 8h 0m 0s
                    max_renewable_life = 7d 0h 0m 0s
                    sunw_dbprop_enable = true
    #               sunw_dbprop_slave_poll = 2m
                    sunw_dbprop_master_ulogsize = 1000
            }

14. Sur le nouveau KDC maître, démarrez kadmind et krb5kdc.

    kdc4 # svcadm enable -r network/security/krb5kdc
    kdc4 # svcadm enable -r network/security/kadmin

15. Sur l'ancien KDC maître, ajoutez le principal de service kiprop.

    L'ajout du principal kiprop au fichier krb5.keytab permet au démon kpropd de s'authentifier auprès du service de propagation incrémentielle.

    kdc1 # /usr/sbin/kadmin -p kws/admin
    Authenticating as pricipal kws/admin@EXAMPLE.COM with password.
    Enter password: <Type kws/admin password>
    kadmin: ktadd kiprop/kdc1.example.com
    Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type AES-256 CTS mode
              with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
    Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type AES-128 CTS mode
              with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.
    Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type Triple DES cbc
              mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.
    Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type ArcFour
              with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
    Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type DES cbc mode
              with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.
    kadmin: quit

16. Sur l'ancien KDC maître, ajoutez une entrée pour chaque KDC répertorié dans krb5.conf au fichier de configuration de propagation, kpropd.acl.

    kdc1 # cat /etc/krb5/kpropd.acl
    host/kdc1.example.com@EXAMPLE.COM
    host/kdc2.example.com@EXAMPLE.COM
    host/kdc3.example.com@EXAMPLE.COM
    host/kdc4.example.com@EXAMPLE.COM

17. Sur l'ancien KDC maître, démarrez kpropd et krb5kdc.

    kdc1 # svcadm enable -r network/security/krb5_prop
    kdc1 # svcadm enable -r network/security/krb5kdc