Association des attributs de principaux Kerberos dans un type de classe d'objet non Kerberos

Dans cette procédure, les attributs krbprincipalaux, krbTicketPolicyAux et krbPrincipalName sont associés à la classe d'objet "personnes".

Cette procédure utilise les paramètres de configuration ci-dessous :

• Serveur d'annuaire = dsserver.example.com

• principal d'utilisateur = mre@EXAMPLE.COM

Avant de commencer

Vous devez prendre le rôle root. Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .

1. Préparez chaque entrée dans les classes d'objet personnes.

   Sur le serveur d'annuaire, répétez cette étape pour chaque entrée.

   cat << EOF | ldapmodify -h dsserver.example.com -D "cn=directory manager"
   dn: uid=mre,ou=people,dc=example,dc=com
   changetype: modify
   objectClass: krbprincipalaux
   objectClass: krbTicketPolicyAux
   krbPrincipalName: mre@EXAMPLE.COM
   EOF

2. Ajoutez un attribut de sous-arborescence pour le conteneur de domaine.

   Cet exemple permet d'effectuer des recherches d'entrées de principal dans le conteneur ou=people,dc=example,dc=com, ainsi que le conteneur EXAMPLE.COM par défaut.

   # kdb5_ldap_util -D "cn=directory manager" modify \
      -subtrees 'ou=people,dc=example,dc=com' -r EXAMPLE.COM

3. (Facultatif) Si les enregistrements de KDC sont stockés dans DB2, migrez les entrées DB2.
   1. Videz les entrées DB2.

      # kdb5_util dump > dumpfile

   2. Chargez la base de données dans le serveur LDAP.

      # kdb5_util load -update dumpfile

4. (Facultatif) Ajoutez les attributs de principal au KDC.

   # kadmin.local -q 'addprinc mre'