如何在非 Kerberos 对象类类型中混合 Kerberos 主体属性

在该过程中，krbprincipalaux、krbTicketPolicyAux 和 krbPrincipalName 属性都与 people 对象类关联。

此过程使用以下配置参数：

• 目录服务器 = dsserver.example.com

• 用户主体 = mre@EXAMPLE.COM

开始之前

您必须承担 root 角色。有关更多信息，请参见在 Oracle Solaris 11.2 中确保用户和进程的安全 中的使用所指定的管理权限。

1. 准备 people 对象类中的每一项。

   在目录服务器上，对每个项重复此步骤。

   cat << EOF | ldapmodify -h dsserver.example.com -D "cn=directory manager"
   dn: uid=mre,ou=people,dc=example,dc=com
   changetype: modify
   objectClass: krbprincipalaux
   objectClass: krbTicketPolicyAux
   krbPrincipalName: mre@EXAMPLE.COM
   EOF

2. 将一个子树属性添加到领域容器。

   本示例允许在 ou=people,dc=example,dc=com 容器和缺省 EXAMPLE.COM 容器中搜索主体项。

   # kdb5_ldap_util -D "cn=directory manager" modify \
      -subtrees 'ou=people,dc=example,dc=com' -r EXAMPLE.COM

3. (u53ef选) 如果 KDC 记录存储在 DB2 中，请迁移 DB2 项。
   1. 转储 DB2 项。

      # kdb5_util dump > dumpfile

   2. 将数据库装入 LDAP 服务器。

      # kdb5_util load -update dumpfile

4. (u53ef选) 将主体属性添加到 KDC。

   # kadmin.local -q 'addprinc mre'