FIPS 140 모드에서 실행되도록 Kerberos를 구성하는 방법

시작하기 전에

Kerberos를 FIPS 140 모드로 실행하려면 시스템에서 FIPS 140 모드를 사용으로 설정해야 합니다. Oracle Solaris 11.2의 암호화 및 인증서 관리 의 FIPS 140이 사용으로 설정된 부트 환경 만들기 를 참조하십시오.

1. KDC의 암호화 유형을 편집합니다.

   kdc.conf 파일의 [realms] 섹션에서 KDC 데이터베이스에 대한 마스터 키 유형을 설정합니다.

   # pfedit  /etc/krb5/kdc.conf    
   ...
   master_key_type = des3-cbc-sha1-kd

2. 같은 파일에서 다른 암호화 유형은 명시적으로 금지합니다.

   명령을 실행하여 암호화를 설정할 수도 있기 때문에 구성 파일에서 명령에 대한 비FIPS 140 알고리즘 인수 사용을 금지해야 합니다.

           supported_enctypes = des3-cbc-sha1-kd:normal

3. krb5.conf 파일의 [libdefaults] 섹션에서 트랜잭션에 대한 암호화 유형을 편집합니다.

   이러한 매개변수는 Kerberos 서버, 서비스 및 클라이언트의 암호화 유형을 제한합니다.

   # pfedit /etc/krb5/krb5.conf
           default_tgs_enctypes = des3-cbc-sha1-kd
           default_tkt_enctypes = des3-cbc-sha1-kd
           permitted_enctypes = des3-cbc-sha1-kd

4. 같은 파일에서 약한 암호화 유형은 명시적으로 금지합니다.

           allow_weak_enctypes = false

문제 해결

Kerberos 암호화 유형을 참조하십시오.