|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
|
Kerberos Server##################### 规范介绍 ####################################### Realm: BJPUC1.COM --> 建议大写
Primary KDC: nn1.bjpuc1.com --> 建议用域名 192.168.88.16
Secondary KDC: nn2.bjpuc1.com --> 192.168.88.17
User principal: bjpuc1
Admin principal: bjpuc1/admin
NTP 时间服务器 --> 时间需要同步
##################### 规范介绍 ####################################### |
|
1
2
3
|
apt-get install krb5-kdc krb5-admin-server
krb5_newrealm
dpkg-reconfigure krb5-kdc
|
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
|
cat /etc/krb5.conf ###此文件为所有应用kerbers 机器通用
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
default_realm = BJPUC1.COM
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 2d
forwardable = true
renewable = true
[realms]
BJPUC1.COM = {
kdc = nn1.bjpuc1.com
kdc = nn2.bjpuc1.com
admin_server = nn1.bjpuc1.com
}
[domain_realm]
[kdc]
profile=/etc/krb5kdc/kdc.conf
|
|
1
2
3
4
5
6
7
8
|
kadmin.local
Authenticating as principal root/admin@BJPUC1.COM with password.
kadmin.local: addprinc bjpuc1/admin
WARNING: no policy specified for bjpuc1/admin@BJPUC1.COM; defaulting to no policy
Enter password for principal "bjpuc1/admin@BJPUC1.COM":
Re-enter password for principal "bjpuc1/admin@BJPUC1.COM":
Principal "bjpuc1/admin@BJPUC1.COM" created.
kadmin.local: quit
|
|
1
2
3
4
5
|
cat /etc/krb5kdc/kadm5.acl
bjpuc1/admin@BJPUC1.COM *
/etc/init.d/krb5-admin-server restart
kinit bjpuc1/admin
bjpuc1/admin@BJPUC1.COM's Password:
|
|
1
2
3
|
cat /etc/hosts ##或用DNS方式解决
host/nn1.bjpuc1.com@bjpuc1.com
host/nn2.bjpuc1.com@bjpuc1.com
|
|
1
2
3
4
5
6
7
|
kadmin -q "addprinc -randkey host/nn1.bjpuc1.com"
kadmin -q "ktadd -norandkey -k /etc/krb5.keytab host/nn1.bjpuc1.com"
klist -k /etc/krb5.keytab
klist -k /etc/krb5.keytab
kprop -r bjpuc1.com -f /var/lib/krb5kdc/dump nn2.bjpuc1.com
vi /etc/crontab
0 * * * * /usr/sbin/kdb5_util dump /var/lib/krb5kdc/dump && /usr/sbin/kprop -r BJPUC1.COM -f /var/lib/krb5kdc/dump nn2.bjpuc1.com
|
|
1
2
3
4
5
6
7
8
9
10
|
apt-get install krb5-kdc krb5-admin-server
kadmin -q "addprinc -randkey host/nn2.bjpuc1.com"
kadmin -q "ktadd -norandkey -k /etc/krb5.keytab host/nn2.bjpuc1.com"
vi /etc/krb5kdc/kpropd.acl
host/nn1.bjpuc1.com@bjpuc1.com
host/nn2.bjpuc1.com@bjpuc1.com
kdb5_util -s create
kpropd -S
kdb5_util stash
/etc/init.d/krb5-kdc start
|
|
1
|
apt-get install krb5-user libpam-krb5 libpam-ccreds auth-client-config
|
from：http://www.ibm.com/developerworks/cn/aix/library/au-kerberos_mst_slv/
概述
KRB5LDAP 客户机从 KRB5LDAP 主服务器获取用户和组信息。如果 KRB5LDAP 主服务器因为不可用而不响应 KRB5LDAP 客户机，那么 Kerberos LDAP 客户机将向 KRB5LDAP 从服务器发送一个请求，以获取用户和组信息。
KRB5LDAP 客户机应用程序设计为在 KRB5LDAP 主服务器停机的情况下，尝试根据从服务器执行身份验证。因此在系统失败时，管理员不需要做额外工作就可以将 Kerberos 身份验证服务故障转移到备份服务器。不过 Kerberos 的管理特性不提供自动故障转移。
图 1. 图表
如果 Kerberos 主服务器发生故障，kadmind 守护进程将不可用。因此，在修复或替换主服务器之前，管理功能是不可用的。特别是主管理、关键创建和关键变更操作在 Kerberos 主服务器失败期间是不能执行的。
本文使用 IBM® Tivoli® 目录服务器（LDAP）作为数据库服务器，使用 IBM Network Authentication Services (NAS) 作为 Kerberos 验证服务器。
配置
LDAP 配置
LDAP 被设计为允许设置主/备份配置。首先，按照下面的说明配置 LDAP 主/备份服务器。
使用 AIX® mksecldap 命令配置 LDAP 服务器和客户机。这个命令自动将 LDAP 信息更新到所需的 LDAP 配置文件。参见 参考资料 小节获得关于配置 LDAP 主-备份拓扑结构的信息。
使用 LDAP 数据库（KRB5LDAP 主/从）配置 Kerberos 主/从服务器
- 下面的步骤在 ldap 数据库中定义这两个模式定义：
在 LDAP 主/备份服务器上添加 Kerberos 模式。NAS 在 /usr/krb5/ldif 目录中附带有一个 ldif 文件。使用 ldapmodify 命令将该模式导出到 LDAP 主/备份服务器。
ldapmodify 使用以下语法：
ldapmodify -h <LDAP Master hostname/ LDAP replica hostname> -D <bind dn> -w <bind passwd> -f /usr/krb5/ldif/IBM.KRB.schema.ldif -v -c
例如：
ldapmodify -h server1.in.ibm.com -D cn=admin -w adminpwd -f /usr/krb5/ldif/IBM.KRB.schema.ldif -v -c
下面的步骤将 Kerberos 域导出到 LDAP 服务器：
NAS 附带有一个 realm_add.ldif 文件，该文件在 /usr/krb5/ldif 目录中。使用 Kerberos 域和 LDAP 后缀信息更新这个文件。需要更改的地方包括使用 LDAP 后缀替换默认的后缀，并且这个域名应该与将在 Kerberos 配置中使用的域名一样。
realm_add.ldif 文件
dn: <ou=Austin, o=IBM, c=US> ou: <Austin> objectclass: organizationalUnit dn: krbrealmName-V2=<REALM NAME>, <ou=Austin, o=IBM, c=US> objectclass: KrbRealm-V2 objectclass: KrbRealmExt krbrealmName-V2: <REALM NAME> krbprincSubtree: krbrealmName-V2=<REALM NAME>, <ou=Austin, o=IBM, c=US> krbDeleteType: 4 krbMaxFailAuth: 0 krbDisableTimeInterval: 0 dn: cn=principal, krbrealmName-V2=<REALM NAME>, <ou=Austin, o=IBM, c=US> objectclass: container cn: principal dn: cn=policy, krbrealmName-V2=<REALM NAME>, <ou=Austin, o=IBM, c=US> objectclass: container cn: policy
使用命令 ldapadd 将该文件导出到 LDAP 主/从服务器。
ldapadd 语法
ldapadd -h <LDAP server hostname/LDAP Replica server hostname> -D <bind dn> -w <bind passwd> -f /usr/krb5/ldif/realm_add.ldif -v -c
例如：
ldapadd -h server1.in.ibm.com -D cn=admin -w adminpwd -f /usr/krb5/ldif/realm_add.ldif -v -c
将 Kerberos 模式定义导出到 LDAP 服务器之后，使用命令 ldapsearch 检查它。
ldapsearch 语法
ldapsearch -h <LDAP master/Replica hostname> -D <bind dn> -w <bind passwd> -b <LDAP suffix> objectclass=* | more
例如：
ldapsearch -h server1.in.ibm.com -D cn=admin -w adminpwd -b " ou=People,o=sec" objectclass=* | more
使用 LDAP 主服务器配置 Kerberos 主服务器
使用命令 mkkrb5srv 配置带有 LDAP 主服务器的 Kerberos 主服务器。
mkkrb5srv 语法
mkkrb5srv -r <realm> -s <KDC server> -d <Domain name> -a <Adminitstrater name> -l <LDAP master server> -u <bind dn> -p <bind passwd>
例如：
mkkrb5srv -r TEST -s server1.in.ibm.com -d in.ibm.com -a admin/admin -l server1.in.ibm.com -u cn=admin -p adminpwd
命令 mkkrb5srv 启动 krb5kdc 和 kadmind 进程。使用命令 ps 检查这个进程。
ps -eaf|grep KRB5
Kerberos 服务器类型信息存储在 /etc/krb5/krb5_cfg_type 文件中。这个文件包含主/从服务器的信息。
通过 LDAP 数据库运行命令 mkkrb5srv 将导致类似于遗留数据库配置的操作（除了数据库创建不同之外）。因为 LDAP 用作后端存储，所以没有在本地文件系统中创建数据库文件。相反，将在 /var/krb5/krb5kdc 目录中创建一个 .kdc_ldap_data 文件来保存关于 LDAP 的信息。
在 LDAP 备份服务器上配置 Kerberos 从服务器
像下面这样使用命令 config.krb5 配置 Kerberos 从服务器。
config.krb5 语法
config.krb5 -E -d <domain name> -r <realm> -s <KDC server> -l <LDAP replica server> -u <bind dn> -p <bind passwd>
例如：
config.krb5 -E -d in.ibm.com -r TEST -s server1.in.ibm.com -l server2.in.ibm.com -u cn=admin -p adminpwd
选项 -E 指定配置的是从 KDC 服务器。
<realm> 名应该与 Kerberos 主服务器相同。
这将启动 krb5kdc 守护进程，并使用命令 ps 进行检查：
ps -eaf|grep KRB5
Kerberos 服务器类型信息存储在 /etc/krb5/krb5_cfg_type 文件中。这个文件包含主或从服务器的信息。使用以下命令检查 Kerberos 服务器的类型：
# cat /etc/krb5/krb5_cfg_type
查看 /etc/krb5/krb5.conf 文件确认从服务器配置。
# cat /etc/krb5/krb5.conf
[libdefaults]
default_realm = TEST
default_keytab_name = FILE:/etc/krb5/krb5.keytab
default_tkt_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts des-cbc-md5 des-cbc-crc
default_tgs_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts des-cbc-md5 des-cbc-crc
[realms]
TEST = {
kdc = Server1.in.ibm.com:88
kdc = Server2.in.ibm.com:88
admin_server = Server1.in.ibm.com:749
default_domain = in.ibm.com
vdb_plugin_lib = /usr/lib/libkrb5ldplug.a
}
[domain_realm]
.in.ibm.com = TEST
Server1.in.ibm.com = TEST
Server2.in.ibm.com = TEST
[logging]
kdc = FILE:/var/krb5/log/krb5kdc.log
admin_server = FILE:/var/krb5/log/kadmin.log
default = FILE:/var/krb5/log/krb5lib.log
在用作数据库服务器的 LDAP 中，将在 /var/krb5/krb5kdc 目录下创建一个 .kdc_ldap_data 文件来保存关于 LDAP 的信息。
在用作后端存储的 LDAP 中，将不在本地文件系统创建数据库文件。相反，将在 /var/krb5/krb5kdc 目录下创建一个 .kdc_ldap_data 文件来保存关于 LDAP 的信息。因此必须在 Kerberso 主和从服务器中编辑 .kdc_ldap_data 文件，然后同步这两个服务器。
在 Kerberos 主服务器上，添加 KDC 从条目：
[ldapdefaults]
realm = TEST
bind_dn = cn=admin
bind_dn_pw = adminpwd
ldapserver = server1.in.ibm.com
ldapserver = server2.in.ibm.com
bind_type = simple
#LDAP_OPT_REFERRALS = 1
#LDAP_OPT_DEBUG = 0
#LDAP_OPT_DEREF = 0
#LDAP_OPT_TIMELIMIT = 300
#LDAP_OPT_SIZELIMIT = 0
#LDAP_OPT_SSL_TIMEOUT = 43200
#LDAP_OPT_REFHOPLIMIT = 10
[servers]
server1.in.ibm.com = {
port = 389
replica_type = readwrite
preference = 9
}
server2.in.ibm.com = {
port = 389
replica_type = readonly
preference = 4
}
在 Kerberos 从服务器上，添加 KDC 主条目：
[ldapdefaults]
realm = TEST
bind_dn = cn=admin
bind_dn_pw = adminpwd
ldapserver = server2.in.ibm.com
ldapserver = server1.in.ibm.com
bind_type = simple
#LDAP_OPT_REFERRALS = 1
#LDAP_OPT_DEBUG = 0
#LDAP_OPT_DEREF = 0
#LDAP_OPT_TIMELIMIT = 300
#LDAP_OPT_SIZELIMIT = 0
#LDAP_OPT_SSL_TIMEOUT = 43200
#LDAP_OPT_REFHOPLIMIT = 10
[servers]
server2.in.ibm.com = {
port = 389
replica_type = readonly
preference = 9
}
server1.in.ibm.com = {
port = 389
replica_type = readwrite
preference = 4
}
配置 Kerberos 客户机
使用 mkkrb5clnt 命令配置带有 Kerberos 服务器的 Kerberos 客户机。
mkkrb5clnt 语法
mkkrb5clnt -r <realm> -d <domain name> {-c <KDC server> -s
<server> | -l {ldapserver | ldapserver:port} [-c <KDC> -s <server>]}
[-a <admin>] [-A] [-i <data base>] [-K] [-T]
mkkrb5clnt -r TEST -c server1.in.ibm.com -s server1.in.ibm.com -d in.ibm.com -i LDAP -K -T
mkkrb5clnt 创建包含 <realm> 名称、KDC 服务器、Kerberos 管理服务器和域名信息的 /etc/krb5/krb5.conf 文件。
#cat /etc/krb5/krb5.conf
[libdefaults]
default_realm = TEST
default_keytab_name = FILE:/etc/krb5/krb5.keytab
default_tkt_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts des-cbc-md5 des-cbc-crc
default_tgs_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts des-cbc-md5 des-cbc-crc
[realms]
REDDY = {
kdc = server1.in.ibm.com:88
admin_server = server1.in.ibm.com:749
default_domain = in.ibm.com
}
[domain_realm]
.in.ibm.com = TEST
server1.in.ibm.com = TEST
[logging]
kdc = FILE:/var/krb5/log/krb5kdc.log
admin_server = FILE:/var/krb5/log/kadmin.log
default = FILE:/var/krb5/log/krb5lib.log
Kerberos 服务器类型信息存储在 /etc/krb5/krb5_cfg_type 文件中。这个文件应该包含 “客户机” 的信息。
Kerberos 用户可以从 Kerberos 客户机创建。要创建 Kerberos 用户，根用户必须拥有凭证。凭证可以通过 kinit 命令从 KDC 服务器获取。
# /usr/krb5/bin/kinit admin/admin
admin/admin@TEST 的密码：
可以使用 /usr/krb5/bin/klist 命令来验证凭证文件。
在 AIX Kerberos 客户机上，可以使用 mkuser 命令按照以下方式创建 Kerberos 用户：
# mkuser -R KRB5LDAP SYSTEM= "KRB5LDAP" registry=KRB5LDAP <user1>
通过密码命令为用户设置密码，然后验证登录。
#passwd -R KRB5LDAP <user1>
在 Kerberos 客户机服务器中添加从 KDC 服务器的详细信息
Cat /etc/krb5/krb5.conf
[libdefaults]
default_realm = TEST
default_keytab_name = FILE:/etc/krb5/krb5.keytab
default_tkt_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts des-cbc-md5 des-cbc-crc
default_tgs_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts des-cbc-md5 des-cbc-crc
[realms]
TEST = {
kdc = server1.in.ibm.com:88
kdc = server2.in.ibm.com:88
admin_server = server1.in.ibm.com:749
default_domain = in.ibm.com
}
[domain_realm]
.in.ibm.com = TEST
server1.in.ibm.com = TEST
server2.in.ibm.com = TEST
[logging]
kdc = FILE:/var/krb5/log/krb5kdc.log
admin_server = FILE:/var/krb5/log/kadmin.log
default = FILE:/var/krb5/log/krb5lib.log
这个故障转移机制可以按照以下方法进行验证。停止并关闭 LDAP 主服务器和 Kerberos 主服务器。从 Kerberos 客户机运行 kinit。此外，保证所有 Kerberos 用户 都从客户机登录。
在 Kerberos 从服务器中检查 /var/krb5/log/ krb5kdc.log 文件，以跟踪事件机制。
+
+
=
=
=
0
0‘
0
相关推荐
描述怎么样使用 ldap+apacheDS in jxplorer
它让你能够将一些标准的安全机制，例如Solaris NIS（网络信息服务）、Windows NT、LDAP（轻量目录存取协议），Kerberos等通过一种通用的，可配置的方式集成到系统中。本文首先向你介绍JAAS验证中的一些核心部分，...
聊天-Kerberos插件 将Kerberos身份验证添加到“。 安装 先决条件 苹果电脑 Kerberos标头随Mac OS X一起提供。 Linux 您需要安装Kerberos 5开发标头软件包。 它可以称为krb5-dev或libkrb5-dev 。 视窗 您需要安装 ...
间接客户端用于Web应用程序身份验证，而直接客户端用于Web服务身份验证： ▸OAuth-SAML-CAS-OpenID Connect-HTTP-Google App Engine-Kerberos-LDAP-SQL-JWT-MongoDB-CouchDB-IP地址-REST API 者旨在检查已认证的...
在 Auth0 中配置 AD/LDAP 连接需要两个简单的步骤： 1. 在 Auth0 中创建 AD/LDAP 连接 第一步是在仪表板上创建一个新的连接： 连接 > 企业 > AD/LDAP 命名连接并检查您是否希望为此连接启用Kerberos 。 如果启用...
▸OAuth-SAML-CAS-OpenID Connect-HTTP-Google App Engine-Kerberos-LDAP-SQL-JWT-MongoDB-CouchDB-IP地址-REST API 者旨在检查已认证的用户个人资料或当前Web上下文中的授权： ▸角色/权限-匿名/记住我/（完全）...
这是一般的Kerberos ansible角色，它安装和配置Kerberos KDC和Kerberos Admin Server以及其他模块（PKINIT，OTP，SASL和LDAP支持） 模板基于krbkdc 1.15，因此，如果您使用的是Kerberos的较新版本，并且缺少设置，...
▸OAuth-SAML-CAS-OpenID Connect-HTTP-Google App Engine-LDAP-SQL-JWT-MongoDB-CouchDB-Kerberos-IP地址-Kerberos（SPNEGO）-REST API 者旨在检查已认证的用户个人资料或当前Web上下文中的授权： ▸角色/权限-...
▸OAuth-SAML-CAS-OpenID Connect-HTTP-OpenID-Google App Engine-LDAP-SQL-JWT-MongoDB-CouchDB-Kerberos-IP地址-Kerberos（SPNEGO）-REST API 者旨在检查已认证的用户个人资料或当前Web上下文中的授权： ▸角色...
间接客户端用于Web应用程序身份验证，而直接客户端用于Web服务身份验证： ▸OAuth-SAML-CAS-OpenID Connect-HTTP-OpenID-Google App Engine-LDAP-SQL-JWT-MongoDB-CouchDB-Kerberos-IP地址-Kerberos（SPNEGO）-REST...
由于CSDN上传文件大小限制，下载《CDH6.3.2网盘.txt》获取网盘地址进行下载，CDH6.3.2 搭建所需要的各种安装文件，包括： allkeys.asc ...包含：CDH搭建安装，Kerberos，ldap，sentry，freeIPA等一些配置教程
间接客户端用于Web应用程序身份验证，而直接客户端用于Web服务身份验证： ▸OAuth-SAML-CAS-OpenID Connect-HTTP-OpenID-Google App Engine-LDAP-SQL-JWT-MongoDB-CouchDB-Kerberos-IP地址-Kerberos（SPNEGO）-REST...
本文重点分析了Kerberos认证系统与LDAP目录服务系统的消息格式、数据库管理、安装配置、配置文件、接口函数等。利用可信平台模块（TPM）对Kerberos协议及其蓝本Needham—Schroeder协议进行了改进，增强了它们的安全...
首先，将需要IPA主服务器作为LDAP / Kerberos环境的开始。 然后可以添加IPA副本以提高弹性。 IPA主主服务器至少需要运行两次Puppet才能完全配置。 这是因为ipa_adminhomedir，ipa_adminuidnumber和ipa_...
Ansible的工作机制是将Ansible模块通过SSH协议（或者Kerberos、LDAP）推送到被管理端执行，执行完之后自动删除，可以使用SVN等来管理自定义模块及编排。Ansible由五个部分组成：Ansible核心引擎、Modules、Plugins、...
这是安装主服务器的配置。 不用于生产用途，包含大量丑陋的黑客！ 在此处获取 .iso： ://www.dropbox.com/s/9xyev3vv56ovpdb/sverigelinux-0.0.8-alpha.iso?dl SverigeLinux 是 Linux 服务器和客户端的部署系统。 ...
可选（如果method是`ldap则是必需的 kerberos`） 数据库 指定要建立模型的数据库 必需的 analytics 图式 指定要构建模型的架构 必需的 dbt_drew 主持人 要连接的主机名 必需的 127.0.0.1 港口 连接到主机的端口 ...
该服务器具有可嵌入、可扩展、标准的遵守 LDAP 协议等特性，同时支持其他的网络协议，例如 NTP 和 Kerberos。 可嵌入性 ApacheDS 的可嵌入性使得它可以被其他 Java 组件 configure、start 和 stop，例如应用服务器...
LDAP 密码 用于 Ambari 服务器的 SSL 斯普尼戈 Ranger 安装先决条件 游侠安装 游侠KMS安装 在另一个节点上添加 KMS HDFS 加密练习 将 Hive 仓库移至 EZ 安全的 Hadoop 练习 高密度文件系统 蜂巢 HBase Sqoop 删除...
系统设置、配置和许可证管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30 定义管理设置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ...