Planification de domaines Kerberos

Un domaine est réseau logique qui définit un groupe de systèmes qui sont sous le même KDC maître. Comme pour l'établissement d'un nom de domaine DNS, les problèmes tels que le nom de domaine, le nombre et la taille de chaque domaine, ainsi que la relation d'un domaine à d'autres domaines pour l'authentification inter-domaine, doivent être résolus avant de configurer le service Kerberos.

Noms de domaine

Les noms de domaine peuvent être constitués de n'importe quelle chaîne de caractères ASCII. En général, le nom de domaine est le même que celui de votre nom de domaine DNS, sauf que le nom de domaine est en majuscules. Cette convention permet de différencier les problèmes avec le service Kerberos des problèmes avec l'espace de noms DNS, tout en utilisant un nom familier. Si vous ne souhaitez pas utiliser DNS ou que vous choisissez d'utiliser une autre chaîne, vous pouvez utiliser n'importe quelle chaîne. Toutefois, le processus de configuration nécessite plus de travail. L'utilisation de noms de domaine qui suivent les conventions de désignation d'Internet est judicieuse.

Nombre de domaines

Le nombre de domaines requis par votre installation dépend de plusieurs facteurs :

• Le nombre de clients à prendre en charge. Trop de clients dans un domaine rend l'administration plus difficile et finit par vous forcer à diviser le domaine. Les principaux facteurs qui déterminent le nombre de clients pouvant être pris en charge sont les suivants :

  • Quantité de trafic générée par chaque client Kerberos

  • Bande passante du réseau physique

  • Vitesse de l'hôte

  Etant donné que chaque installation aura différentes limitations, aucune règle n'existe pour déterminer le nombre maximum de clients.

• La distance qui les sépare des clients. Configurer plusieurs petits domaines peut avoir un sens si les clients sont dans différentes régions.

• Le nombre d'hôtes disponibles pour être installés en tant que KDC. Chaque domaine doit disposer d'au moins deux serveurs KDC, un serveur maître et un serveur esclave.

L'alignement des domaines Kerberos avec les domaines d'administration est recommandé. Il convient de noter qu'un domaine Kerberos V peut s'étendre sur plusieurs sous-domaines du domaine DNS auquel le domaine correspond.

Hiérarchie des domaines

Lorsque vous configurez plusieurs domaines pour l'authentification inter-domaine, vous devez décider comment lier les domaines entre eux. Vous pouvez établir une relation hiérarchique entre les domaines, ce qui fournit automatiquement les chemins d'accès aux domaines associés. Bien entendu, tous les domaines dans la chaîne hiérarchique doivent être configurés correctement. Les chemins d'accès automatiques peuvent alléger la charge administrative. Cependant, s'il existe de nombreux niveaux de domaines, il se peut que vous ne souhaitiez pas utiliser le chemin par défaut car cela nécessite trop de transactions.

Vous pouvez également choisir d'établir la relation de confiance de manière directe. Une relation de confiance directe est plus utile lorsqu'un trop grand nombre de niveaux hiérarchiques existent entre deux domaines ou lorsqu'il n'existe aucune relation hiérarchique. La connexion doit être définie dans le fichier /etc/krb5/krb5.conf sur tous les hôtes qui utilisent la connexion. Par conséquent, certains travaux supplémentaires sont nécessaires. La relation de confiance directe est également appelée relation transitive. Pour une introduction, reportez-vous à Domaines Kerberos. Pour les procédures de configuration de plusieurs domaines, reportez-vous à la section Configuration de l'authentification inter-domaine.