Cómo reconfigurar un KDC maestro para utilizar la propagación incremental

Los pasos de este procedimiento se pueden utilizar para volver a configurar un KDC maestro existente a fin de utilizar la propagación incremental. Este procedimiento utiliza los siguientes parámetros de configuración:

• Nombre de dominio = EXAMPLE.COM

• Nombre de dominio DNS = example.com

• KDC maestro = kdc1.example.com

• KDC esclavo = kdc2.example.com

• Principal admin = kws/admin

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Uso de sus derechos administrativos asignados de Protección de los usuarios y los procesos en Oracle Solaris 11.2 .

1. Agregue entradas a kdc.conf.

   Necesita activar la propagación incremental y seleccionar el número de actualizaciones que el KDC maestro mantiene en el log. Para obtener más información, consulte la página del comando man kdc.conf(4).

   kdc1 # pfedit /etc/krb5/kdc.conf
   [kdcdefaults]
   kdc_ports = 88,750
   
   [realms]
   EXAMPLE.COM= {
   profile = /etc/krb5/krb5.conf
   database_name = /var/krb5/principal
   acl_file = /etc/krb5/kadm5.acl
   kadmind_port = 749
   max_life = 8h 0m 0s
   max_renewable_life = 7d 0h 0m 0s
   sunw_dbprop_enable = true
   sunw_dbprop_master_ulogsize = 1000
   }

2. Cree el principal kiprop.

   El principal kiprop se utiliza para autenticar el servidor KDC maestro y para autorizar las actualizaciones del KDC maestro.

   kdc1 # /usr/sbin/kadmin -p kws/admin
   Enter password: xxxxxxxx
   kadmin: addprinc -randkey kiprop/kdc1.example.com
   Principal "kiprop/kdc1.example.com@EXAMPLE.COM" created.
   kadmin: addprinc -randkey kiprop/kdc2.example.com
   Principal "kiprop/kdc2.example.com@EXAMPLE.COM" created.
   kadmin:

3. En el KDC maestro, agregue una entrada kiprop a kadm5.acl.

   Esta entrada permite que el KDC maestro reciba solicitudes de propagación incremental del servidor kdc2.

   kdc1 # pfedit /etc/krb5/kadm5.acl
   */admin@EXAMPLE.COM *
   kiprop/kdc2.example.com@EXAMPLE.COM p

4. Elimine el comentario de la línea kprop en el archivo crontab root.

   Este paso impide que el KDC maestro propague su copia de la base de datos del KDC.

   kdc1 # crontab -e
   #ident  "@(#)root       1.20    01/11/06 SMI"
   #
   # The root crontab should be used to perform accounting data collection.
   #
   # The rtc command is run to adjust the real time clock if and when
   # daylight savings time changes.
   #
   10 3 * * * /usr/sbin/logadm
   15 3 * * 0 /usr/lib/fs/nfs/nfsfind
   1 2 * * * [ -x /usr/sbin/rtc ] && /usr/sbin/rtc -c > /dev/null 2>&1
   30 3 * * * [ -x /usr/lib/gss/gsscred_clean ] && /usr/lib/gss/gsscred_clean
   #10 3 * * * /usr/lib/krb5/kprop_script kdc2.example.com 

5. Reinicie kadmind.

   kdc1 # svcadm restart network/security/kadmin

6. Reconfigure todos los servidores KDC esclavos que utilicen la propagación incremental.

   Para obtener instrucciones completas, consulte Cómo reconfigurar un KDC esclavo para utilizar la propagación incremental.