配置 KDC 主服务器

最新推荐文章于 2024-07-16 11:06:12 发布
最新推荐文章于 2024-07-16 11:06:12 发布
阅读量8.5k 收藏 7
点赞数 1
分类专栏： JAVA基础和理论 文章标签： encryption database 服务器 seam 加密 数据库

原文地址：http://hi.baidu.com/rlee1984/blog/item/800db813382e95015baf5343.html

配置 KDC 主服务器
2007-09-14 15:08

配置 KDC 服务器

安装 Kerberos 软件后，必须配置 KDC 服务器。配置一个主 KDC 和至少一个从 KDC 以提供颁发凭证的服务。这些凭证是 Kerberos 服务的基础，因此在尝试其他任务之前必须安装 KDC。

主 KDC 和从 KDC 之间的最大差别是，只有主 KDC 可以处理数据库管理请求。例如，更改口令或添加新的主体必须在主 KDC 上完成。然后可以将这些更改传播到从 KDC。从 KDC 和主 KDC 都可生成凭证。此功能可在主 KDC 无法响应时提供冗余性。

Procedure如何配置主 KDC

在此过程中，将配置增量传播。此外，还将使用以下配置参数：

  • 领域名称 = EXAMPLE.COM

  • DNS 域名 = example.com

  • 主 KDC = kdc1.example.com

  • admin 主体 = kws/admin

  • 联机帮助 URL = http://denver:8888/ab2/coll.384.1/SEAM/@AB2PageView/6956

    注 –

    调整该 URL 以指向“SEAM Administration Tool”部分，如SEAM Administration Tool 中的联机帮助 URL中所述。

开始之前

此过程要求 DNS 必须正在运行。有关此主 KDC 是否可交换的特定命名说明，请参见交换主 KDC 和从 KDC。

  2. 成为主 KDC 的超级用户。

  3. 编辑 Kerberos 配置文件 (krb5.conf)。

    需要更改领域名称和服务器名称。有关此文件的完整说明，请参见 krb5.conf(4) 手册页。


    kdc1 # cat /etc/krb5/krb5.conf

[libdefaults]

         default_realm = EXAMPLE.COM

[realms]

                EXAMPLE.COM = {

                 kdc = kdc1.example.com

                 admin_server = kdc1.example.com

                

         }

[domain_realm]

        .example.com = EXAMPLE.COM

#

# if the domain name and realm name are equivalent, 

# this entry is not needed

#

[logging]

         default = FILE:/var/krb5/kdc.log

         kdc = FILE:/var/krb5/kdc.log

[appdefaults]

     gkadmin = {

         help_url = http://denver:8888/ab2/coll.384.1/SEAM/@AB2PageView/6956

         }

    在此示例中，更改了 default_realm、kdc 和 admin_server 行以及所有 domain_realm 项。此外，还编辑了定义 help_url 的行。

    注 –

    如果要限制加密类型，可以设置 default_tkt_enctypes 或 default_tgs_enctypes 行。有关限制加密类型涉及的问题的说明，请参阅使用 Kerberos 加密类型。

  4. 编辑 KDC 配置文件 (kdc.conf )。

    需要更改领域名称。有关此文件的完整说明，请参见 kdc.conf(4) 手册页。


    kdc1 # cat /etc/krb5/kdc.conf

[kdcdefaults]

         kdc_ports = 88,750

[realms]

        EXAMPLE.COM= {

                 profile = /etc/krb5/krb5.conf

                 database_name = /var/krb5/principal

                 admin_keytab = /etc/krb5/kadm5.keytab

                 acl_file = /etc/krb5/kadm5.acl

                 kadmind_port = 749

                 max_life = 8h 0m 0s

                 max_renewable_life = 7d 0h 0m 0s

                sunw_dbprop_enable = true

                sunw_dbprop_master_ulogsize = 1000         }

    在此示例中，更改了 realms 部分中的领域名称定义。此外，在 realms 部分中，添加了用于启用增量传播和选择主 KDC 将保留在日志中的更新数的行。

    注 –

    如果需要限制加密类型，可以设置 permitted_enctypes、supported_enctypes 或 master_key_type 行。有关限制加密类型涉及的问题的说明，请参阅使用 Kerberos 加密类型。

  5. 使用 kdb5_util 命令创建 KDC 数据库。

    kdb5_util 命令创建 KDC 数据库。此外，与 -s 选项一起使用时，此命令会在启动 kadmind 和 krb5kdc 守护进程之前，创建一个用于向自己验证 KDC 的存储文件。


    kdc1 # /usr/sbin/kdb5_util create -r EXAMPLE.COM -s

Initializing database '/var/krb5/principal' for realm 'EXAMPLE.COM'

master key name 'K/M@EXAMPLE.COM'

You will be prompted for the database Master Password.

It is important that you NOT FORGET this password.

Enter KDC database master key: <Type the key>

Re-enter KDC database master key to verify: <Type it again>

    如果领域名称与服务器的名称空间中的域名相同，则无需后跟领域名称的 -r 选项。

  6. 编辑 Kerberos 访问控制列表文件 (kadm5.acl)。

    填充后，/etc/krb5/kadm5.acl 文件应包含允许管理 KDC 的所有主体名称。


    kws/admin@EXAMPLE.COM    *

    通过该项，EXAMPLE.COM 领域中的 kws/admin 主体可以修改 KDC 中的主体或策略。缺省安装包括用于匹配所有 admin 主体的星号 (*)。此缺省安装可能会存在安全风险，因此更安全的方法是包括所有 admin 主体的列表。有关更多信息，请参见 kadm5.acl(4) 手册页。

  7. 启动 kadmin.local 命令并添加主体。

    接下来的子步骤创建 Kerberos 服务使用的主体。


    kdc1 # /usr/sbin/kadmin.local

kadmin.local:

    2. 向数据库中添加管理主体。

      可以根据需要添加任意数量的 admin 主体。要完成 KDC 配置过程，必须至少添加一个 admin 主体。对于此示例，将添加一个 kws/admin 主体。可以将 "kws" 替换为相应的主体名称。


      kadmin.local: addprinc kws/admin

Enter password for principal kws/admin@EXAMPLE.COM:<Type the password>

Re-enter password for principal kws/admin@EXAMPLE.COM: <Type it again>

Principal "kws/admin@EXAMPLE.COM" created.

kadmin.local:

    3. 创建 kiprop 主体。

      kiprop 主体用于授权来自主 KDC 的更新。


      kadmin.local: addprinc -randkey kiprop/kdc1.example.com

Principal "kiprop/kdc1.example.com@EXAMPLE.COM" created.

kadmin.local:

    4. 为 kadmind 服务创建密钥表文件。

      此命令序列创建包含 kadmin 和 changepw 的主体项的特殊密钥表文件。kadmind 服务需要使用这些主体。请注意，主体实例为主机名时，无论/etc/resolv.conf 文件中的域名是大写还是小写，都必须以小写字母指定 FQDN。


      kadmin.local: ktadd -k /etc/krb5/kadm5.keytab kadmin/kdc1.example.com

Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type AES-128 CTS mode

           with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type Triple DES cbc

           mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type ARCFOUR

           with HMAC/md5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kadmin/kdc1.example.com with kvno 3, encryption type DES cbc mode

           with RSA-MD5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

kadmin.local: ktadd -k /etc/krb5/kadm5.keytab changepw/kdc1.example.com

EEntry for principal changepw/kdc1.example.com with kvno 3, encryption type AES-128 CTS mode

           with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal changepw/kdc1.example.com with kvno 3, encryption type Triple DES cbc

           mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal changepw/kdc1.example.com with kvno 3, encryption type ARCFOUR

           with HMAC/md5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal changepw/kdc1.example.com with kvno 3, encryption type DES cbc mode

           with RSA-MD5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

kadmin.local: ktadd -k /etc/krb5/kadm5.keytab kadmin/changepw

Entry for principal kadmin/changepw with kvno 3, encryption type AES-128 CTS mode

           with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kadmin/changepw with kvno 3, encryption type Triple DES cbc

           mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kadmin/changepw with kvno 3, encryption type ARCFOUR

           with HMAC/md5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kadmin/changepw with kvno 3, encryption type DES cbc mode

           with RSA-MD5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

kadmin.local:

    5. 将主 KDC 服务器的 kiprop 主体添加到 kadmind 密钥表文件中。

      通过将 kiprop 主体添加到 kadm5.keytab 文件中，kadmind 命令可以在启动增量传播时对其自身进行验证。


      kadmin.local: ktadd -k /etc/krb5/kadm5.keytab kiprop/kdc1.example.com

Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type AES-128 CTS mode

           with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type Triple DES cbc

           mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type ARCFOUR

           with HMAC/md5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

Entry for principal kiprop/kdc1.example.com with kvno 3, encryption type DES cbc mode

           with RSA-MD5 added to keytab WRFILE:/etc/krb5/kadm5.keytab.

kadmin.local:

    6. 退出 kadmin.local。

      已经添加了接下来的步骤所需的所有主体。


      kadmin.local: quit

  8. 启动 Kerberos 守护进程。


    kdc1 # svcadm enable -r network/security/krb5kdc

kdc1 # svcadm enable -r network/security/kadmin

  9. 启动 kadmin 并添加更多主体。

    此时，可以使用 SEAM Administration Tool 添加主体。为此，必须使用此过程前面创建的一个 admin 主体名称登录。但是，为简单起见，给出了以下命令行示例。


    kdc1 # /usr/sbin/kadmin -p kws/admin

Enter password: <Type kws/admin password>

kadmin:

    2. 创建主 KDC host 主体。

      基于 Kerberos 的应用程序（例如 klist 和 kprop）将使用主机主体。Solaris 10 客户机在挂载经过验证的 NFS 文件系统时将使用此主体。请注意，主体实例为主机名时，无论 /etc/resolv.conf 文件中的域名是大写还是小写，都必须以小写字母指定 FQDN。


      kadmin: addprinc -randkey host/kdc1.example.com

Principal "host/kdc1.example.com@EXAMPLE.COM" created.

kadmin:

    3. （可选的）创建 kclient 主体。

      安装 Kerberos 客户机过程中 kclient 实用程序将使用此主体。如果不打算使用此实用程序，则无需添加该主体。kclient 实用程序的用户需要使用此口令。


      kadmin: addprinc clntconfig/admin

Enter password for principal clntconfig/admin@EXAMPLE.COM:<Type the password>

Re-enter password for principal clntconfig/admin@EXAMPLE.COM: <Type it again>

Principal "clntconfig/admin@EXAMPLE.COM" created.

kadmin:

    4. 将主 KDC 的 host 主体添加到主 KDC 的密钥表文件中。

      通过将主机主体添加到密钥表文件中，可以自动使用此主体。


      kadmin: ktadd host/kdc1.example.com

Entry for principal host/kdc1.example.com with kvno 3, encryption type AES-128 CTS mode

           with 96-bit SHA-1 HMAC added to keytab WRFILE:/etc/krb5/krb5.keytab.

Entry for principal host/kdc1.example.com with kvno 3, encryption type Triple DES cbc

           mode with HMAC/sha1 added to keytab WRFILE:/etc/krb5/krb5.keytab.

Entry for principal host/kdc1.example.com with kvno 3, encryption type ARCFOUR

           with HMAC/md5 added to keytab WRFILE:/etc/krb5/krb5.keytab.

Entry for principal host/kdc1.example.com with kvno 3, encryption type DES cbc mode

           with RSA-MD5 added to keytab WRFILE:/etc/krb5/krb5.keytab.

kadmin:

    5. 退出 kadmin。


      kadmin: quit

  10. （可选的）使用 NTP 或其他时钟同步机制同步主 KDC 时钟。

    安装和使用网络时间协议 (Network Time Protocol, NTP) 并非必需。但是，要成功验证，每个时钟都必须处于 krb5.conf 文件的 libdefaults 部分中定义的缺省时间内。有关 NTP 的信息，请参见同步 KDC 和 Kerberos 客户机的时钟。

  11. 配置从 KDC。

    要提供冗余性，请确保至少安装一个从 KDC。有关特定说明，请参见如何配置从 KDC。


hongbinchen
关注
  • 1
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
kdc服务器密码修改,KDC服务安装及配置
weixin_28923083的博客
08-10 1007
KDC服务安装在Cloudera Manager Server所在服务器上(KDC服务可根据自己需要安装在其他服务器)1.在Cloudera Manager服务器上安装KDC服务：yum -y install krb5-server krb5-libs krb5-auth-dialog krb5-workstation2.修改/etc/krb5.conf配置vim /etc/krb5.conf 修...
Kerberos安装及使用2（Kerberos服务器KDC安装及配置）
Siobhan_Mxin的博客
03-16 8875
Kerberos服务器KDC安装及配置 centos虚拟机安装
Kerberos 配置
ilvchocolate的专栏
11-19 3746
KDC服务器，Ktelnetd，Krlogind，Krsh服务器，最后就可以使用krb5-workstation提供的telnet，rlogin，rsh来登录这些服务了。     1.生成kerberos的本地数据库 kdb5_util create-r EXAMPLE.COM -s  /usr/local/var/krb5kdc(创建文件夹) 2. 生成账号 kerbero
kdc用户命令
undefined的博客
11-12 812
1、密码形式创建kdc用户 sudo kadmin.local -q "addprinc -pw ${pwd} ${kdcPrinc}" 2、keytab形式创建kdc用户 sudo kadmin.local -q "ktadd -norandkey -k ${kdcPath} ${kdcPrinc}" 3、删除kdc用户 sudo kadmin.local -q "delprinc -force ${kdcPrinc}" 4、修改kdc用户密码 sudo kadmin.local -q "cpw -pw.
kdc-server部署kerberos认证
最新发布
qq_54738879的博客
07-16 510
/etc/krb5.conf，krb5-workstation krb5-devel，创建principal
KDC
Sunso的专栏
08-17 1048
Simple krb5.ini: [libdefaults] default_realm = DOMAIN.COM dns_lookup_kdc = true dns_lookup_realm = true [realms] DOMAIN.COM = { kdc = ADSERVER.DOMAIN.COM default_domain = DOMAIN.COM
KDC+NFS 服务配置
kaml200626的博客
11-02 1381
KDC运用到NFS中
配置linux2为kdc服务器，负责linux3和linux4的验证。
05-23
在配置 KDC 服务器之前，需要确保所有主机都已经安装了 Kerberos 相关软件包。 可以使用以下命令来安装： ``` sudo yum install krb5-server krb5-libs krb5-workstation ``` 接下来，按照以下步骤在 Linux2 上...
kerberos安装配置
hongbinchen的专栏
08-23 1964
原文地址：http://running.iteye.com/blog/963383 kerberos安装配置 博客分类：  hadoop 配置管理XMLWeb 安装步骤：  1.下载krb5-1.9  http://web.mit.e
安装配置Kerberos
xiweihao的博客
10-23 3042
kerberos简介 Kerberos是一种计算机网络认证协议，此协议可以保护网络实体免受窃听和重复攻击，它允许某实体在非安全网络环境下向另一个实体以一种安全的方式证明自己的身份。Kerberos由麻省理工实验室实现此协议并发布的一套免费软件。其设计主要是针对客户-服务器模型，且提供了一系列交互认证——用户和服务器都能高安全性的验证对方的身份。 链接kerber...
kerberos验证协议安装配置使用
krb___的博客
03-18 1304
Kerberos 是一个网络身份验证协议，用于在计算机网络中进行身份验证和授权。它提供了一种安全的方式，允许用户在不安全的网络上进行身份验证，并获取访问网络资源的权限。
KDC服务安装及配置
weixin_34138255的博客
10-23 6096
2019独角兽企业重金招聘Python工程师标准>>> ...
kdc服务安装及配置
weixin_69010480的博客
03-23 703
kdc服务配置
KDC与CA的区别
桑安琪的成长之路
05-06 7740
密钥分发中心(KDC) 基本思想就是利用受信任的第三方，我们委托它对与我们通信的各方进行认证。这种第三方通常是由网络上某处一台安全的机器来实现的。这台机器被称做密钥分发中心(keydistribution center，KDC)。每个需要保密通信安全的个人都与 KDC 共享一个密钥。 过程：当 Alice 想要与 Bob 进行通信时，她就给 KDC 发送消息，该消息以其与 KDC 共享的密钥K
Kerberos协议
EDDJH_31的博客
08-01 747
前几天在复现MS14_068漏洞时，发现漏洞原理跟Kerberos协议有关，当时就大致看了一下。今天下午突然看到Kerberos协议的时候，发现自己对协议还是不太明白，所以在网上找了些资料认真看了一下，做个总结跟大家分享一下 Kerberos（/ˈkərbərəs/）是一种计算机网络授权协议，用来在非安全网络中，对个人通信以安全的手段进行身份认证。 协议的安全主要依赖
KMS服务器是什么
qq_32490757的博客
12-31 6443
参考链接：https://baike.baidu.com/item/KMS/66195 1. 原因 我们知道，Windows XP和Server 2003要想避开激活机制的最好办法就是去下载VOL版或者MSDN的操作系统，只要输入正确的序列号，甚至有的根本不需要序列号，安装完以后也根本不用激活，并且只要运行一个脚本程序，一个免费的正版Windows就诞生了。为什么我们能这么容易的下载到MSDN或V...
[Kerberos基础]-- kdc集群主从搭建(kerberos相关)
热门推荐
欢迎来到我的博客，一起探索代码里的世界！
03-02 1万+
主机规划 10.10.100.94   master 10.10.100.93   slave 10.10.100.92   client   （一）环境：  名称            版本         CentOS        CentOS release 6.7(Final)        Kerberos        krb5-server-1.10.3-57.e...
Linux rocky kdc配置
03-29
2. 配置KDC 在Rocky Linux中，KDC的配置文件为/etc/krb5.conf。可以使用编辑器打开此文件，添加以下内容： ``` [logging] default = FILE:/var/log/krb5libs.log kdc = FILE:/var/log/krb5kdc.log admin_server = ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值