दस्तावेज़ीकरण3.3. माध्यमिक केडीसी
एक बार जब आपके नेटवर्क पर एक कुंजी वितरण केंद्र (केडीसी) हो, तो प्राथमिक अनुपलब्ध होने की स्थिति में एक माध्यमिक केडीसी रखना अच्छा अभ्यास है। इसके अलावा, यदि आपके पास केर्बरोस क्लाइंट हैं जो अलग-अलग नेटवर्क में हैं (संभवतः NAT का उपयोग करके राउटर द्वारा अलग किए गए हैं), तो उनमें से प्रत्येक नेटवर्क में एक द्वितीयक केडीसी रखना बुद्धिमानी है।
1. सबसे पहले, पैकेज स्थापित करें, और जब केर्बरोस और एडमिन सर्वर नाम मांगे जाएं तो प्राथमिक केडीसी का नाम दर्ज करें:
sudo apt इंस्टॉल krb5-kdc krb5-एडमिन-सर्वर
2. एक बार जब आप पैकेज स्थापित कर लें, तो सेकेंडरी केडीसी का होस्ट प्रिंसिपल बनाएं। टर्मिनल प्रॉम्प्ट से, दर्ज करें:
kadmin -q "addprinc -randkey होस्ट/kdc02.example.com"
किसी भी केडमिन कमांड को जारी करने के बाद आपसे आपका उपयोगकर्ता नाम पूछा जाएगा/ [ईमेल संरक्षित] मुख्य पासवर्ड.
3. निकालें कीटैब फ़ाइल:
कैडमिन -क्यू "ktadd -norandkey -k keytab.kdc02 होस्ट/kdc02.example.com"
4. अब एक होना चाहिए keytab.kdc02 वर्तमान निर्देशिका में, फ़ाइल को ले जाएँ /etc/krb5.keytab:
सुडो एमवी keytab.kdc02 /etc/krb5.keytab
यदि पथ के लिए keytab.kdc02 फ़ाइल भिन्न है तदनुसार समायोजित करें।
इसके अलावा, आप कीटैब फ़ाइल में प्रिंसिपलों को सूचीबद्ध कर सकते हैं, जो कि klist उपयोगिता का उपयोग करके समस्या निवारण के समय उपयोगी हो सकता है:
सुडो klist -k /etc/krb5.keytab
-k विकल्प इंगित करता है कि फ़ाइल एक कीटैब फ़ाइल है।
5. इसके बाद, एक होने की जरूरत है kpropd.एसीएल प्रत्येक केडीसी पर फ़ाइल जो क्षेत्र के सभी केडीसी को सूचीबद्ध करती है। उदाहरण के लिए, प्राथमिक और माध्यमिक दोनों केडीसी पर, बनाएं /etc/krb5kdc/kpropd.acl:
मेज़बान/[ईमेल संरक्षित] मेज़बान/[ईमेल संरक्षित]
6. पर एक खाली डेटाबेस बनाएं माध्यमिक केडीसी:
sudo kdb5_util -s बनाएं
7. अब kpropd डेमॉन प्रारंभ करें, जो kprop उपयोगिता से कनेक्शन सुनता है। kprop का उपयोग डंप फ़ाइलों को स्थानांतरित करने के लिए किया जाता है:
सुडो केप्रॉप्ड -एस
8. एक टर्मिनल से प्राथमिक केडीसी, मुख्य डेटाबेस की एक डंप फ़ाइल बनाएँ:
sudo kdb5_util डंप /var/lib/krb5kdc/dump
9. प्राथमिक केडीसी निकालें कीटैब फ़ाइल करें और इसे कॉपी करें /etc/krb5.keytab:
कैडमिन -क्यू "ktadd -k keytab.kdc01 होस्ट/kdc01.example.com" sudo mv keytab.kdc01 /etc/krb5.keytab
सुनिश्चित करें कि एक है मेजबान एसटी kdc01.example.com कीटैब निकालने से पहले.
10. kprop उपयोगिता का उपयोग करके डेटाबेस को द्वितीयक KDC पर धकेलें:
सुडो केप्रॉप -r EXAMPLE.COM -f /var/lib/krb5kdc/dump kdc02.example.com
एक होना चाहिए सफल हुए यदि प्रचार काम कर गया तो संदेश भेजें। यदि कोई त्रुटि संदेश है तो जाँच करें / Var / log / syslog अधिक जानकारी के लिए सेकेंडरी केडीसी पर।
आप सेकेंडरी केडीसी पर डेटाबेस को समय-समय पर अपडेट करने के लिए एक क्रॉन जॉब भी बनाना चाह सकते हैं। उदाहरण के लिए, निम्नलिखित हर घंटे डेटाबेस को पुश करेगा (ध्यान दें कि इस दस्तावेज़ के प्रारूप में फिट होने के लिए लंबी लाइन को विभाजित किया गया है):
# एमएच डोम मोन डाउ कमांड
0 * * * * /usr/sbin/kdb5_util डंप /var/lib/krb5kdc/dump &&
/usr/sbin/kprop -r EXAMPLE.COM -f /var/lib/krb5kdc/dump kdc02.example.com
11. पर वापस माध्यमिक केडीसी, बनाओ छिपाने की जगह Kerberos मास्टर कुंजी रखने के लिए फ़ाइल:
सुडो kdb5_util छिपाने की जगह
12. अंत में, सेकेंडरी केडीसी पर krb5-kdc डेमॉन प्रारंभ करें:
sudo systemctl krb5-kdc.service प्रारंभ करें
RSI माध्यमिक केडीसी अब क्षेत्र के लिए टिकट जारी करने में सक्षम होना चाहिए। आप प्राथमिक केडीसी पर केआरबी5-केडीसी डेमॉन को रोककर, फिर टिकट का अनुरोध करने के लिए किनीट का उपयोग करके इसका परीक्षण कर सकते हैं। यदि सब कुछ ठीक रहा तो आपको ऐसा करना चाहिए
सेकेंडरी केडीसी से टिकट प्राप्त करें। अन्यथा, जाँच करें / Var / log / syslog और /var/log/auth.log माध्यमिक केडीसी में.