在 AIX 上配置使用 LDAP 后端服务器的 IBM Network Authentication Service 主 KDC.doc
在 AIX 上配置使用 LDAP 后端服务器的 IBM Network Authentication Service 主 KDC
简介
在 Kerberos 环境中，Key Distribution Center (KDC) 起着关键作用。它根据用户的凭证决定是否应该允许用户使用某个服务(比如 FTP)。Kerberos 用户信息存储在一个数据库中(在遗留的配置中常常是文件系统中的文件)。KDC 通过引用这个 Kerberos 数据库检查用户，然后授予凭证。遗留的 Kerberos 数据库的主要问题在于，数据库存储在运行 KDC 的系统本地(尽管它是加密的)。在发生故障时，这会造成单一故障点，风险很大。因此，有必要寻找存储 Kerberos 数据的其他方法，从而尽可能降低风险。
由于 Kerberos 数据具有层次化结构，LDAP 目录非常适合存储 Kerberos 数据。在 LDAP 目录中很容易存储和管理 Kerberos 信息。LDAP 目录还对访问数据的方式提供更好的控制。这使 Kerberos 管理员能够轻松地在 LDAP 中存储机密信息(Kerberos 用户名和密码、主密钥等等)。另外，LDAP 目录还能够提高 Kerberos 环境的可伸缩性，让管理员能够把 KDC 放在网络上的任何地方。
本文讨论如何通过配置 IBM NAS 主 KDC 和管理服务器 (kadmind) 使用 LDAP 目录插件存储 IBM NAS 身份验证数据。请注意，IBM NAS 还有另一个特性，可以使用 LDAP 目录配置 KDC 和管理服务器发现。这是一个完全不同的特性，更多信息参见文章 IBM Netinistration servers discovery using LDAP for AIX(见 参考资料)。
另外，还有一个分为三部分的系列讨论使用 IBM NAS 的从 KDC 配置。其中一个部分讨论如何把从 KDC 配置为使用 LDAP 作为后端服务器，见 参考资料。
如何让 Kerberos 使用 LDAP 目录？
在 Kerberos 中，最重要的信息是主体(Kerberos 用户)和策略信息。这些信息包括 Kerberos 主体密码、各种主体属性、主密钥信息(主密钥或主密钥文件位置)和 Kerberos 策略属性等等。Kerberos KDC 使用 LDAP 中存储的主体信息对用户进行身份验证。除了主体信息之外，Kerberos 策略信息也存储在 LDAP 目录中。
另外，AIX 支持在 LDAP 目录中存储常用的用户信息以及相关的 Kerberos 和 LDAP 属性。在使用 AIX 系统的集成登录时，访问这些额外的信息。因此，在 AIX 上，IBM NAS KDC 和 LDAP 目录的组合提供的不仅仅是安全性。
下图说明如何结合使用 IBM NAS KDC 和 LDAP 目录服务器，并显示这种配置中使用的重要的 IBM NAS 配置文件。
图 1. 使用 LDAP 目录插件的 IBM NAS KDC
因为 LDAP 存储敏感的 Kerberos 信息，而且 KDC 常常要访问 LDAP 目录，所以建议保护 KDC 和 LDAP 服务器之间的通信。一般情况下，需要使用 SSL (Secure Socket Layer)。为 IBM NAS KDC 和 LDAP 配置 SSL 超出了本文的范围。
现在配置使用 LDAP 目录的 IBM NAS KDC。
配置使用 LDAP 后端服务器的 IBM NAS 主 KDC
对于 AIX 上的 Kerberos 配置，使用 IBM NAS version 。可以在 AIX expansion pack CD 上找到它，也可以从 AIX Tivoli® Directory Server (ITDS) version 6.1。下载链接见 参考资料。
在开始实际配置之前，一定要正确地安装和配置 LDAP 服务器。关于如何安装和配置 LDAP 服务器，请参考 LDAP 文档。还要安装 IBM NAS。
详细的配置步骤如下：
添加后缀：
首先，在 LDAP 服务器中添加一个新的后缀来存储 Kerberos 信息。可以认为这个后缀是存储 Kerberos 数据的树的根。典型的后缀像 ou=india,o=ibm,c=in 这样。在 LDAP 目录中添加这个后缀：
如果 LDAP 目录服务器正在运行的话，停止它。 # /opt/IBM/ldap/V6.1/bin/ibmdirctl -D =root -slapd server is stopped
#
添加后缀。
添加后缀 ou=
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
