Thank you for reading this post, don't forget to subscribe!

Kerberos оста­ет­ся одним из самых надеж­ных про­то­ко­лов аутен­ти­фи­ка­ции для боль­шин­ства рабо­чих сред.

Он обес­пе­чи­ва­ет надеж­ную одно­крат­ную реги­стра­цию или вход в сеть для поль­зо­ва­те­лей в неза­щи­щен­ных сетях.

В иде­а­ле Kerberos предо­став­ля­ет поль­зо­ва­те­лям биле­ты или тике­ты, что­бы помочь им мини­ми­зи­ро­вать частое исполь­зо­ва­ние паро­лей в сетях.

Частое исполь­зо­ва­ние паро­лей уве­ли­чи­ва­ет веро­ят­ность утеч­ки дан­ных или кра­жи пароля.

Но, как и боль­шин­ство про­то­ко­лов аутен­ти­фи­ка­ции, успех рабо­ты с Kerberos зави­сит от пра­виль­ной уста­нов­ки и настройки.

Сле­ду­ю­щие шаги помо­гут вам настро­ить Linux для аутен­ти­фи­ка­ции с помо­щью Kerberos

Шаг 1: Убедитесь, что обе машины отвечают предварительным требованиям для настройки Kerberos Linux

Преж­де все­го, перед нача­лом про­цес­са настрой­ки вам необ­хо­ди­мо убе­дить­ся, что вы выпол­ни­ли сле­ду­ю­щие действия:

• У вас долж­на быть функ­ци­о­наль­ная сре­да Kerberos Linux. В част­но­сти, вы долж­ны убе­дить­ся, что у вас есть сер­вер Kerberos (KDC) и кли­ент Kerberos, уста­нов­лен­ные на раз­ных маши­нах. Пред­по­ло­жим, что сер­вер обо­зна­чен сле­ду­ю­щи­ми адре­са­ми интер­нет-про­то­ко­ла: 192.168.1.14, а кли­ент рабо­та­ет на сле­ду­ю­щем адре­се 192.168.1.15. Кли­ент запра­ши­ва­ет тике­ты у KDC.
• Син­хро­ни­за­ция вре­ме­ни явля­ет­ся обя­за­тель­ной. Вы долж­ны исполь­зо­вать сете­вую син­хро­ни­за­цию вре­ме­ни (NTP) для обес­пе­че­ния того, что­бы обе маши­ны рабо­та­ли в одном вре­мен­ном интер­ва­ле. Любая раз­ни­ца во вре­ме­ни более чем на 5 минут при­ве­дет к неудач­но­му про­цес­су аутентификации.
• Для аутен­ти­фи­ка­ции вам пона­до­бит­ся DNS. Служ­ба домен­ной сети помо­жет раз­ре­шить кон­флик­ты в систем­ной среде.

Шаг 2: Настройка центра распределения ключей

У вас уже дол­жен быть функ­ци­о­наль­ный KDC, кото­рый вы настро­и­ли во вре­мя установки.

Вы може­те выпол­нить при­ве­ден­ную ниже коман­ду на сво­ем KDC:

Конфигурация Kerberos V5

1. Уста­но­ви­те паке­ты krb5-libs, krb5-server и krb5-workstation

2.Отредактируйте /etc/krb5.conf и /var/kerberos/krb5kdc/kdc.conf, что­бы отра­зить ваше имя и домен в отоб­ра­же­ни­ях областей.

Про­стую область мож­но создать, заме­нив экзем­пля­ры EXAMPLE.COM и example.com име­нем ваше­го доме­на (убе­див­шись, что вы сохра­ня­е­те тот же слу­чай), и изме­нив kerberos.example.com на пол­ное имя хоста сервера.

Напри­мер:

3. Отре­дак­ти­руй­те /var/kerberos/krb5kdc/kadm5.acl, что­бы опре­де­лить, какие участ­ни­ки име­ют пра­ва на доступ к базе дан­ных Kerberos.

# vi /var/kerberos/krb5kdc/kadm5.acl

4. Создай­те базу дан­ных kerberos с помо­щью коман­ды kdb5_util:

# kdb5_util create -s

5. Запу­сти­те служ­бы Kerberos:

6. Добавь­те прин­ци­па­лы Kerberos:

Обра­ти­те вни­ма­ние, что host – это сло­во «host», а не имя хоста сер­ве­ра, а ukp9174.uk.oracle.com – это пол­ное имя хоста сервера.

7. Добавь­те хост в таб­ли­цу клю­чей keytab:

8. Про­те­сти­руй­те може­те ли вы полу­чить билет:

 

 

Как обновить тикет Kerberos

Обнов­ле­ние биле­та Kerberos.

Пере­чис­лим кэши­ро­ван­ные биле­ты Kerberos.

Этот билет дей­стви­те­лен до 4 октяб­ря 04:06 и может быть про­длен до 4 октяб­ря 18:06, но это необ­хо­ди­мо сде­лать до исте­че­ния сро­ка его действия.

Запра­ши­ва­ем про­дле­ние билета.

3 октяб­ря 22:24 тикет был про­длен до 4 октяб­ря 08:24.

После исте­че­ния сро­ка дей­ствия билет не может быть про­длен, как я уже гово­рил ранее.

Полу­че­ние и кэши­ро­ва­ние ново­го биле­та Kerberos.