<Precedenti | Contenuti | Succ.>
3.4.2. Configurazione
Per configurare il client in un terminale inserire:
sudo dpkg-reconfigure krb5-config
Ti verrà quindi richiesto di inserire il nome del reame Kerberos. Inoltre, se non hai il DNS configurato con Kerberos SRV record, il menu ti chiederà il nome host del centro di distribuzione chiavi (KDC) e del server Realm Administration.
Il dpkg-reconfigure aggiunge voci al /etc/krb5.conf file per il tuo regno. Dovresti avere voci simili alle seguenti:
[libdefault]
default_realm = ESEMPIO.COM
...
[reami]
ESEMPIO.COM = {
kdc = 192.168.0.1
server_admin = 192.168.0.1
}
Se imposti l'uid di ciascuno degli utenti autenticati dalla rete in modo che inizi a 5000, come suggerito in Sezione 3.2.1, «Installazione» [p. 147], puoi quindi dire a pam di provare ad autenticarsi solo usando utenti Kerberos con uid > 5000:
# Kerberos dovrebbe essere applicato solo agli utenti ldap/kerberos, non a quelli locali. for i in common-auth common-session common-account common-password; fare
sudo sed -i -r
-e 's/pam_krb5.so minimo_uid=1000/pam_krb5.so minimo_uid=5000/'
/etc/pam.d/$ho fatto
Ciò eviterà che venga richiesta la password Kerberos (inesistente) di un utente autenticato localmente quando si cambia la password utilizzando passwd.
Puoi testare la configurazione richiedendo un ticket utilizzando l'utility kinit. Per esempio:
kinit steve@EXAMPLE.COM
Password per steve@EXAMPLE.COM:
Quando un biglietto è stato concesso, i dettagli possono essere visualizzati utilizzando klist:
clist
Cache ticket: FILE:/tmp/krb5cc_1000 Principale predefinito: steve@EXAMPLE.COM
Inizio valido Scade Principale servizio
07/24/08 05:18:56 07/24/08 15:18:56 krbtgt/EXAMPLE.COM@EXAMPLE.COM
rinnovare fino al 07/25/08 05:18:57
Kerberos 4 ticket cache: /tmp/tkt1000 klist: non hai ticket nella cache
Quindi, usa auth-client-config per configurare il modulo libpam-krb5 per richiedere un ticket durante il login:
sudo auth-client-config -a -p kerberos_example
Ora dovresti ricevere un ticket dopo aver effettuato con successo l'autenticazione del login.