Configurando a Autenticação do Kerberos

Ativar a Autenticação do Kerberos para um Ponto NFS

• Console
• CLI
• API

• 1. Abra o menu de navegação e clique em Armazenamento. Em Armazenamento de Arquivos, clique em Pontos de Montagem.
  2. Na seção Escopo da lista, em Compartimento, selecione um compartimento.
  3. Localize o destino de montagem desejado, clique no menu Ações () e, em seguida, clique em Exibir detalhes.
  4. Clique na guia NFS para exibir ou editar as definições NFS existentes para o ponto de acesso NFS.
  5. Ao lado do Kerberos, clique em Manage.

  6. Na janela Gerenciar Kerberos, forneça os seguintes detalhes:

     • realm do Kerberos: Informe o realm do Kerberos ao qual esse ponto de acesso NFS se une.
     • Na seção de informações do Keytab, forneça os seguintes detalhes:
       • Selecione o Vault que contém o segredo do keytab que você deseja usar.
       • Selecione o Segredo do keytab.
       • Selecione a Versão atual do Segredo do keytab e a Versão do segredo do keytab de backup.
       Cuidado
       
       Certifique-se de fazer backup de seus vaults e chaves. Excluir um vault e uma chave significa perder a capacidade de decriptografar qualquer recurso ou dados para os quais a chave foi usada para criptografar. Para obter mais informações, consulte Backup e Restauração de Vaults e Chaves.

  7. Clique em Validar keytab antes de ativar o Kerberos para inspecionar o conteúdo da keytab.

     Cuidado
     
     Um keytab configurado incorretamente pode fazer com que os clientes NFS percam o acesso aos sistemas de arquivos.
  8. Ativar Kerberos: Ative esta opção para usar Kerberos. Consulte Usando a Autenticação do Kerberos para obter mais informações.
  9. Clique em Salvar.

• Use o comando oci fs mount-target create com as opções --kerberos, --idmap-type e --ldap-idmap para criar um ponto de acesso NFS e fornecer detalhes do Kerberos e do LDAP.

  oci fs mount-target create --availability-domain <availability_domain> --compartment-id <compartment_id> --subnet-id <subnet_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  Use o comando oci fs mount-target update com as opções --kerberos, --idmap-type e --ldap-idmap para atualizar um ponto de acesso NFS existente com detalhes do Kerberos e do LDAP.

  oci fs mount-target update --mount-target-id <mount_target_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  Este é um exemplo de arquivo krb.json:

  {
    "currentKeyTabSecretVersion": 1,
    "isKerberosEnabled": true,
    "kerberosRealm": "EXAMPLE.COM",
    "keyTabSecretId": "ocid1.vaultsecret.oc1.eu-frankfurt-1.exampleuniqueID"
  }

  Este é um exemplo de arquivo ldap.json:

  {
    "cacheLifetimeSeconds": 300,
    "cacheRefreshIntervalSeconds": 300,
    "groupSearchBase": "cn=accounts,dc=example,dc=com",
    "negativeCacheLifetimeSeconds": 300,
    "outboundConnector1Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "outboundConnector2Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "userSearchBase": "cn=accounts,dc=example,dc=com",
    "schemaType": "RFC2307"
  }

  Use o comando oci fs mount-target validate-key-tabs para testar a keytab Kerberos usada pelo conector de saída associado ao ponto de acesso NFS.

  oci fs mount-target validate-key-tabs --mount-target-id <mount_target_id>

  Para obter uma lista completa de parâmetros e valores para comandos da CLI, consulte a Referência de Comando da CLI.

• Use CreateMountTarget ou UpdateMountTarget com as opções kerberos, idMapType e ldapIdmap para criar ou atualizar um ponto de acesso NFS com detalhes do LDAP e do Kerberos.

  Use ValidateKeyTabs para validar a keytab Kerberos associada ao ponto de acesso NFS.

  Para obter informações sobre como usar a API e assinar solicitações, consulte a documentação da API REST e Credenciais de Segurança. Para obter informações sobre SDKs, consulte SDKs e a CLI.