De quais servidores copiar o arquivo keytab para

1

Estou tentando configurar um ambiente Kerberos simples no qual um servidor cliente autentica em um serviço da Web (no meu caso, o OpenSSH) por meio de um servidor Kerberos.

Gerei um arquivo keytab no KDC, mas não tenho certeza sobre para quais servidores copiar o arquivo. Preciso apenas copiá-lo para a máquina que está oferecendo o serviço ou também para a máquina cliente que deseja autenticar para o serviço?

    
por arne.z 13.06.2017 / 22:19

1 resposta

1

em uma situação normal, o arquivo keytab que você criou (geralmente, usando uma conta de serviço principal (ou instância), por exemplo, ssh / hostname) deve ser colocado no "cliente" desse kerberos serviço.

e neste cliente, você usará esse keytab (armazenando as credenciais da conta em cache) para autenticar seu serviço em relação ao KDC , com um comando como este (no caso de um serviço, geralmente feito pelo serviço, em seu código ou por meio de um script, no momento da inicialização):

kinit -kt /path/to/keytab.file principal/name

keytabs de alguma forma contém suas credenciais de conta (ou conta de serviço) (por exemplo, principal e senha) para que você não precise autenticar manualmente, mas você pode fazê-lo automaticamente usando este keytab (e o keytab deve ter permissões estritas, naturly )

espero que ajude

nota: o KDC também usa keytabs, tenha cuidado para não carregar este keytab para o seu cliente! contém informação KDC / kadmin!

para ter certeza de que você está usando o caminho certo, você pode se conectar ao seu KDC do cliente usando o kadmin e criar o keytab a partir dali, por exemplo:

client$ kadmin -p your_admin_login/admin  # login to the KDC
client$ kadmin> ktadd -kt /path/to/keytab.keytab <principal_name>  # generate a keytab locally for account principal_name
client$ kadmin> exit
client$ kinit -kt /path/to/keytab.keytab <principal_name> # test it
client$ <configure the keytab path in your app>

respeita,

    
por 13.06.2017 / 22:45