Como alterar a vida útil do ticket padrão do Kerberos

Question

Nossos servidores KDC estão executando o Ubuntu Dapper (2.6.15-28) ou o Hardy (2.6.24-19). O software Kerberos é a implementação do Kerberos 5 no MIT. Por padrão, um ticket do Kerberos dura 10 horas. No entanto, gostaríamos de aumentá-lo um pouco (por exemplo, 14 horas) para melhor atender às nossas necessidades. Eu fiz o seguinte, mas o tempo de permanência do ingresso ainda é de 10 horas:

1. Em todos os servidores KDC, defina o seguinte parâmetro em "[realms]" em /etc/krb5kdc/kdc.conf e reinicie o daemon KDC:

   max_life = 14h 0m 0s
   

2. Por meio de "kadmin", mudei o "maxlife" para um test principal via "modprinc -maxlife 14hours".

   "getprinc" mostra que a vida máxima do ticket é de fato 14 horas: Vida máxima do bilhete: 0 dias 14:00:00

3. Em uma máquina cliente Kerberos, defina os seguintes parâmetros em [libdefaults], [realms], [domain_realm] e [login] em /etc/krb5.conf (basicamente em todos os lugares, já que nada que eu tentei funcionou):

   ticket_lifetime = 13hrs
   default_lifetime = 13hrs
   

Com as configurações acima, suponho que o tempo de vida do ingresso seria limitado em 13 horas. Quando faço k5start -l 14h -t <principal> , vejo que a hora de término da linha "renew until" agora é de 14 horas a partir da hora de início:

Valid starting     Expires            Service principal
04/13/10 16:42:05  04/14/10 02:42:05  krbtgt/<realm>@<realm>
 renew until 04/14/10 06:42:03

"- l 13h" faria o horário de término na linha "renew until" 13 horas após o horário de início.

No entanto, o bilhete ainda expira em 10 horas (04/13 16:42:05 - 014/14 02:42:05).

Não estou alterando o (s) arquivo (s) / parâmetro (s) de configuração correto (s), não especificando a opção correta ao obter um tíquete do Kerberos ou outra coisa?

    

Answer 1

Acontece que eu também tive que mudar o parâmetro "maxlife" para a entidade de serviço também. Especificamente, eu tive que fazer "modprinc -maxlife 14 horas krbtgt / [REALM_in_CAPS]" para aumentar o tempo de vida para 14 horas.

Para resumir, a vida útil do ticket é o mínimo dos seguintes valores:

• max_life em kdc.conf nos servidores KDC.

• ticket_lifetime em krb5.conf na máquina do cliente.

• maxlife para o usuário principal.

• maxlife para o principal de serviço "krbtgt / [REALM_in_CAPS]" = > O que eu perdi!

• tempo de vida solicitado na solicitação de ingresso. Por exemplo:

  • k5start -l 14h
  • kinit -l 14h

• maxlife para a entidade de serviço do AFS "afs / [realm_in_lower_case]", se você quiser aumentar a vida útil do seu token do AFS.

Mistério solucionado!