krb5安装包 linux_【RedHat Linux】kerberos 服务端配置

1. 安装软件包

# yum install krb5-server krb5-libs krb5-workstation

2. 修改配置文件 kdc.conf , krb5.conf

# vi /var/kerberos/krb5kdc/kdc.conf  //这个不改也可以

[kdcdefaults]

kdc_ports = 88

kdc_tcp_ports = 88

[realms]

EXAMPLE.COM = {

#master_key_type = aes256-cts // 建议不用

acl_file = /var/kerberos/krb5kdc/kadm5.acl // 关于andmin 的 access control list 的配置文件

dict_file = /usr/share/dict/words

admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab // 用于校验的keytab

supported_enctypes = aes256-cts: normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal // 支持的校验方式, [aes256-cts: normal] 要去掉

}

-----------------------------------------------------------------------------------------------

# vi /etc/krb5.conf //用hostnamectl 修改之后此文件域名部分也会被自动修改?

# Configuration snippets may be placed in this directory as well

includedir /etc/krb5.conf.d/

includedir /var/lib/sss/pubconf/krb5.include.d/ // 头文件,多了一个?

[logging] # 日志位置

default = FILE:/var/log/krb5libs.log

kdc = FILE:/var/log/krb5kdc.log

admin_server = FILE:/var/log/kadmind.log

[libdefaults] // 默认库配置

dns_lookup_realm = false // dns 查找功能

ticket_lifetime = 24h // 票证有效时间

renew_lifetime = 7d// 票证最长延期时间

forwardable = true

rdns = false

# default_realm = EXAMPLE.COM # 默认域, 必须与下面realms的名字一致, 记得去掉注释

default_ccache_name = KEYRING:persistent:%{uid}

default_realm = EXAMPLE.COM

dns_lookup_kdc = false

[realms] // 列举所有使用的域

# EXAMPLE.COM = {

# kdc = kerberos.example.com

# admin_server = kerberos.example.com

# }

EXAMPLE.COM = {// 神奇的是,当本机hostname被修改了之后,此处会自动被配置

kdc = classroom.example.com

admin_server = classroom.example.com

}

[domain_realm] # 动态域配置

# .example.com = EXAMPLE.COM

# example.com = EXAMPLE.COM

example.com = EXAMPLE.COM

.example.com = EXAMPLE.COM

-----------------------------------------------------------------------------

cat /var/kerberos/krb5kdc/kadm5.acl

*/admin@EXAMPLE.COM * // 当kadmin匹配到 admin组 的用户都拥有所有权限, 下文可添加指定权限

3. 创建并初始化kerberos database

kdb5_util create -s -r EXAMPLE.COM// -s 生成stash file用于存储kdc密匙, -r 指定realm name 可忽略

// 输入kdc管理密码, 别忘了哦 root

注意: 以下报错可用上面指令解决, 得先执行   # rm /var/kerberos/krb5kdc/principal*

Authenticating as principal root/admin@EXAMPLE.COM with password.

kadmin.local: Cannot find master key record in database while initializing kadmin.local interface

4. kerberos管理指令

4.1 把相关主机添加到环境中

addprinc -randkey host/classroom.example.com

addprinc -randkey host/server.example.com

addprinc -randkey host/desktop.example.com

4.2 给环境添加服务

addprinc -randkey nfs/server.example.com

addprinc -randkey nfs/desktop.example.com

4.3 创建使用服务的用户

addprinc student

==========================

名词解释:

principal 负责人

policy政策

privileges特权

attributes特质

kadmin.local // 进入kerberos的 本地管理模式

: ? // 查看帮助命令

: addprinc caya/admin // 添加用户名/组 caya/admin

: delprinc caya/admin // 删除用户名/组 caya/admin

: addprinc -randkey host/client.host.com // 增加KDC用户端主机

: addprinc -randkey nfs/client.host.com // 可用nfs服务主机

: modprinc -maxrenewlife 1week caya/admin@EXAMPLE.COM # 修改caya 的 renewlife为7天

: listprincs// 查询所有用户

: cpw caya/admin// 修改用户密码

: exit // 退出kerberos

5. 配置测试远程管理模式

systemctl start krb5kdc

systemctl enable krb5kdc

systemctl start kadmin

systemctl enable kadmin

6. 防火墙配置:

firewall-cmd --add-service=kerberos --zone=trusted --permanent

firewall-cmd --add-service=kadmin --zone=trusted --permanent

firewall-cmd --add-service=kpasswd --zone=trusted --permanent

firewall-cmd --reload