klog.krb5 - Online in der Cloud

PROGRAMM:

NAME/FUNKTION

klog.krb5 - Authentifiziert sich bei Kerberos und erhält einen Token

ZUSAMMENFASSUNG

klog.krb5 [-x] [-Rektor <Benutzer Name>]
[-PasswortBenutzer Passwort>] [-Zelle <Zelle Name>]
[-k <Reich>] [-Rohr] [-Leise]
[-Lebenszeit <Ticket Lebensdauer in hh[:mm[:ss]]>]
[-setpage] [-tmp] [-noprdb] [-auspacken] [-Hilfe]

klog.krb5 [-x] [-pr <Benutzer Name>]
[-pa <Benutzer Passwort>]
[-c <Zelle Name>]
[-k <Reich>] [-Pi] [-Ja]
[-l <Ticket Lebensdauer in hh[:mm[:ss]]>]
[-Wenn] [-t] [-n] [-u] [-h]

BESCHREIBUNG

Das klog.krb5 Befehl ruft ein Kerberos v5-Ticket von einem Kerberos-KDC ab und vom
Ticket, ein AFS-Token und speichert es dann im Cache Manager. Der Cache-Manager hält die
Token im Kernel-Speicher und verwendet es, um authentifizierten Zugriff auf das AFS zu erhalten
Dateibereich. Dieser Befehl hat keinen Einfluss auf die Identität des Ausstellers (UNIX UID) auf dem lokalen
Dateisystem.

Standardmäßig ruft der Befehlsinterpreter ein Token für den AFS-Benutzernamen ab, der mit dem
lokaler Benutzername des Emittenten. Um einen alternativen Benutzer anzugeben, fügen Sie den -Rektor Argument.
Der von benannte Benutzer -Rektor Argument muss nicht im lokalen Passwort erscheinen
Datei (die / etc / passwd Datei oder gleichwertig).

Standardmäßig ruft der Befehlsinterpreter ein Token für die lokale Zelle ab, wie durch die
AFSCELL-Umgebungsvariable, die in der Befehlsshell oder von der /etc/openafs/DieseZelle Datei
auf dem lokalen Rechner. Um eine alternative Zelle anzugeben, fügen Sie die -Zelle Streit. Ein Benutzer
kann Token in mehreren Zellen gleichzeitig haben, aber nur ein Token pro Zelle pro
Verbindung zum Client-Rechner. Wenn die Berechtigungsstruktur des Benutzers bereits a
Token für die angeforderte Zelle, ersetzt das aus diesem Befehl resultierende Token diese.

Standardmäßig ruft der Befehlsinterpreter ein Kerberos-Ticket für den lokalen Bereich ab. Zu
Geben Sie einen anderen Kerberos-Realm an, schließen Sie die -k Streit. Der Kerberos-Realm-Name benötigt
stimmt nicht mit dem AFS-Zellennamen überein. klog.krb5 wird ein Ticket für den Auftraggeber "afs/Zelle"
woher Zelle ist der Zellenname, für den der Benutzer Token anfordert, und greift auf die
Principal "afs", wenn dieser Principal nicht funktioniert.

Die Lebensdauer des aus diesem Befehl resultierenden Tokens ist die kleinste der folgenden:

· Die vom Emittenten angegebene Laufzeit mit dem -Lebenszeit Argument, wenn das Argument war
gegeben.

· Die maximale Ticketlebensdauer, die für die "afs/Zelle" Prinzipal in der Kerberos
Datenbank.

· Die maximale Ticketlebensdauer, die im Kerberos-Datenbankeintrag des angegebenen Benutzers aufgezeichnet ist.

VORSICHTSMASSNAHMEN

Standardmäßig erstellt dieser Befehl keine neue Prozessauthentifizierungsgruppe (PAG); siehe die
Beschreibung des pagsch Befehl, um mehr über PAGs zu erfahren. Wenn eine Zelle kein AFS-
geändertes Anmeldedienstprogramm, Benutzer müssen einschließen -setpage Option auf diesen Befehl oder geben Sie die
pagsch Befehl vor diesem, um ihre Token in einer Berechtigungsstruktur zu speichern, die
wird durch PAG und nicht durch lokale UID identifiziert. Benutzer sollten sich dessen bewusst sein -setpage werden wir
funktioniert nicht auf einigen Systemen, insbesondere auf neueren Linux-Systemen, und unter Verwendung von pagsch is
besser und zuverlässiger.

Wenn eine Berechtigungsstruktur durch die lokale UID identifiziert wird, ist die potenzielle Sicherheitslücke
dass der lokale Superuser "root" die UNIX su Befehl, eine andere Identität anzunehmen
und erben automatisch die Token, die dieser UID zugeordnet sind. Identifizieren der Anmeldeinformationen
Struktur von PAG erschwert (aber nicht unmöglich) für den lokalen Superuser
Token anderer Benutzer zu erhalten.

Besitzt das -Passwort Argument verwendet wird, darf das angegebene Passwort nicht mit einem Bindestrich beginnen,
weil es als ein anderer Optionsname interpretiert wird. Nutzung der -Passwort Argument ist nicht
auf jeden fall empfehlenswert.

Standardmäßig ist es möglich, diesen Befehl auf einem ordnungsgemäß konfigurierten NFS-Client auszuführen
Maschine, die über den NFS/AFS Translator auf AFS zugreift, vorausgesetzt, der NFS-Client
Maschine ist ein unterstützter Systemtyp. Wenn der Administrator des Übersetzercomputers jedoch
aktivierte UID-Prüfung durch Einbinden der -uidcheck on Argument an die fs exportafs Befehl,
Der Befehl schlägt mit einer Fehlermeldung ähnlich der folgenden fehl:

Warnung: Remote pioctl zu ist fehlgeschlagen (err=8). . .
Authentifizierung bei AFS nicht möglich, da ein pioctl fehlgeschlagen ist.

Die Aktivierung der UID-Prüfung bedeutet, dass die Anmeldeinformationsstruktur, in der Token gespeichert werden, auf
die Übersetzermaschine muss durch eine UID identifiziert werden, die mit der lokalen UID des
Prozess, der die Token in die Berechtigungsstruktur einfügt. Nach dem klog.krb5
Befehlsinterpreter erhält das Token auf dem NFS-Client, er übergibt es an die Fernbedienung
Executor-Daemon auf dem Übersetzercomputer, der den Systemaufruf durchführt, der die
Token in einer Berechtigungsstruktur auf dem Übersetzercomputer. Der Remote-Executor im Allgemeinen
läuft als lokaler Superuser "root", also tut es in den meisten Fällen seine lokale UID (normalerweise Null)
stimmt nicht mit der lokalen UID des Benutzers überein, der die ausgegeben hat klog.krb5 Befehl auf dem NFS-Client
Maschine.

Ausgabe der klog.krb5 Befehl auf einem NFS-Client-Rechner erzeugt eine Sicherheitslücke: die
Befehlsinterpreter übergibt das Token über das Netzwerk an den Remote-Executor-Daemon in
Klartextmodus.

OPTIONAL

-x Wird nur aus Gründen der Abwärtskompatibilität angezeigt. Seine frühere Funktion ist jetzt die Standardeinstellung
Verhalten dieses Befehls.

-Rektor <Benutzer Name>
Gibt den zu authentifizierenden Benutzernamen an. Wenn dieses Argument weggelassen wird, wird die Standardeinstellung
value ist der lokale Benutzername.

-Passwort <Benutzer Passwort>
Gibt das Kennwort des Ausstellers (oder das des alternativen Benutzers, der durch das
-Rektor Streit). Lassen Sie dieses Argument weg, damit die Befehlsinterpreter-Eingabeaufforderung für
das Passwort, in diesem Fall wird es nicht sichtbar in der Befehlsshell angezeigt.

-Zelle <Zelle Name>
Gibt die Zelle an, für die ein Token abgerufen werden soll. Während einer einzigen Login-Sitzung auf einem
gegebenen Maschine kann ein Benutzer in mehreren Zellen gleichzeitig authentifiziert werden, kann aber
haben jeweils nur ein Token für jeden von ihnen (d. h., kann sich nur unter . authentifizieren
eine Identität pro Zelle pro Sitzung auf einem Computer). Es ist akzeptabel, das abzukürzen
Zellennamen in die kürzeste Form, die sie von den anderen in aufgeführten Zellen unterscheidet
/etc/openafs/CellServDB Datei auf dem Client-Rechner, auf dem der Befehl ausgegeben wird.

Wird dieses Argument weggelassen, wird der Befehl wie definiert in der lokalen Zelle ausgeführt

· Erstens durch den Wert der Umgebungsvariablen AFSCELL.

· Zweitens im /etc/openafs/DieseZelle Datei auf dem Client-Rechner, auf dem die
Befehl ausgegeben wird.

-k <Reich>
Besorgen Sie sich Tickets und Token von derReich> Kerberos-Bereich. Wenn diese Option nicht verfügbar ist
gegeben, klog.krb5 verwendet standardmäßig den lokalen Standardbereich. Der Name des Kerberos-Realms
muss nicht mit dem AFS-Zellennamen übereinstimmen.

-Rohr
Unterdrückt die gesamte Ausgabe in den Standardausgabestream, einschließlich Eingabeaufforderungen und Fehler
Mitteilungen. Die klog.krb5 Der Befehlsinterpreter erwartet das Passwort vom
Standard-Inputstream. Verwenden Sie dieses Argument nicht; Es ist für den Einsatz nach Anwendung ausgelegt
Programme statt menschlicher Benutzer.

-Leise
Unterdrückt einige der Trace-Meldungen, die die klog.krb5 Befehl erzeugt auf dem
Standardausgabestrom standardmäßig. Es berichtet weiterhin über größere Probleme.

-Lebenszeit <Ticket Lebensdauer
Fordert eine bestimmte Lebensdauer für das Token an. Geben Sie eine Anzahl von Stunden an und optional
Minuten und Sekunden im Format hh[:mm[:ss]].

-setpage
Erstellt eine Prozessauthentifizierungsgruppe (PAG), bevor die Authentifizierung angefordert wird. Die
Token ist mit der neu erstellten PAG verknüpft.

-tmp
Erstellt eine Ticketdatei im Kerberos-Stil, anstatt nur Token abzurufen. Das Ticket
Die Datei wird am standardmäßigen Kerberos-Ticket-Cache-Speicherort gespeichert, der normalerweise in
/ Tmp Verzeichnis des lokalen Computers (aber hängt von der Kerberos-Implementierung ab
gebraucht).

-noprdb
Standardmäßig klog.krb5 sucht die AFS-ID des Benutzers im Protection Server und
ordnet das Token dieser AFS-ID zu. Dies ist hilfreich, wenn Sie sich die Ausgabe von ansehen
Befehle wie Token ist aber nicht erforderlich. Wenn diese Option angegeben ist, ist dieses Verhalten
unterdrückt und klog.krb5 speichert das Token unter einem generischen Namen. Das kannst du dir wünschen
wenn Sie beispielsweise Probleme haben, den Protection Server für eine AFS-Zelle zu kontaktieren
aus irgendeinem Grund.

-auspacken
Normalerweise klog.krb5 verwendet das Kerberos-Dienstticket für den AFS-Prinzipal als AFS
Zeichen. Wenn diese Option gegeben ist, klog.krb5 erstellt einen anderen, vereinfachten AFS-Token
Formular auf Basis des Servicetickets (der sogenannte „rxkad 2b“-Token). Normalerweise ist das
nicht nötig. Wenn Sie jedoch ältere OpenAFS-Software verwenden, die nicht mit
große Ticketgrößen in Verbindung mit Active Directory als Kerberos-Server mit
-auspacken kann die Größe des AFS-Tokens verkleinern, damit ältere Software besser damit umgehen kann
einfach.

-Hilfe
Druckt die Online-Hilfe für diesen Befehl. Alle anderen gültigen Optionen werden ignoriert.

AUSGABE

Besitzt das -tmp -Flag enthalten ist, bestätigt die folgende Meldung, dass ein Kerberos-Ticket-Cache
wurde erstellt:

Ticketdatei nach /tmp/krb5cc_1000_rENJoZ geschrieben

Der Pfad zum Cache variiert natürlich.

Beispiele:

Meistens wird dieser Befehl ohne Argumente ausgegeben. Das passende Passwort ist für die
Person, die derzeit am lokalen System angemeldet ist. Die Lebensdauer des Tickets wird berechnet als
Beschreibung beschrieben.

% klog.krb5
Passwort für [E-Mail geschützt] :

Das folgende Beispiel authentifiziert den Benutzer als Admin in der Testzelle der ABC Corporation:

% klog.krb5 -Hauptadministrator -cell test.abc.com
Passwort für [E-Mail geschützt] :

Im Folgenden fordert der Aussteller eine Ticketlaufzeit von 104 Stunden 30 Minuten (4 Tage 8
Stunden 30 Minuten).

% klog.krb5 -Lebensdauer 104:30
Passwort für [E-Mail geschützt] :

PRIVILEG ERFORDERLICH

Andere

Verwenden Sie klog.krb5 online mit den onworks.net-Diensten