如何为 Kerberos 服务访问配置 cron 主机

此过程使用以下配置参数：

• cron 主机 = host1.example.com

• NFS 服务器 = host2.example.com

• LDAP 服务器 = host3.example.com

1. 配置 cron 服务以支持 Kerberos。
   • 如果未针对 Kerberos 配置 cron 主机，请在系统上运行 kclient 命令。

     有关更多信息，请参见 kclient(1M) 手册页。

     例如，以下命令将配置位于 EXAMPLE.COM 领域中的客户机。该命令使用 include 机制将 pam_gss_s4u 文件包含到 /etc/pam.d/cron 服务文件。

     # kclient -s cron:optional -R EXAMPLE.COM

   • 如果已针对 Kerberos 配置 cron 主机，则必须手动在该主机上修改 cron 服务的 PAM 配置。

     确保 cron 服务的 PAM 配置包含 pam_gss_s4u 文件。

     # cd /etc/pam.d ; cp cron cron.orig
     # pfedit cron
           # PAM include file for optional set credentials
           # through Kerberos keytab and GSS-API S4U support
           auth include          pam_gss_s4u

2. 使 cron 充当委托代表。

   例如：

   # kadmin -p kws/admin
   Enter password: xxxxxxxx
   kadmin: modprinc +ok_as_delegate host/host1.example.com@EXAMPLE.COM
   Principal “host/host1.example.com@EXAMPLE.COM” modified.

3. 使 cron 主机代表创建了 cron 作业的用户为自身请求票证。

   kadmin: modprinc +ok_to_auth_as_delegate host/host1.example.com@EXAMPLE.COM
   Principal “host/host1.example.com@EXAMPLE.COM” modified.
   kadmin: quit

4. 在 LDAP 中，配置 cron 以指定其用作委托代表的服务。

   例如，要使 cron 主机访问用户位于 host2（基于 Kerberos 的 NFS 服务器）上的起始目录，请将 NFS 主机添加到 cron 服务器的 LDAP 定义中的 krbAllowedToDelegateTo 参数。

   1. 创建委托指定。

      # pfedit /tmp/delghost.ldif
      dn: krbprincipalname=host/host1.example.com@EXAMPLE.COM,cn=EXAMPLE.COM,cn=krbcontainer,dc=example,dc=com
      changetype: modify
      krbAllowedToDelegateTo: nfs/host2.example.com@EXAMPLE.COM
      

   2. 将该指定添加到 LDAP。

      # ldapmodify -h host3 -D "cn=directory manager" -f delghost.ldif