k5start - Online nel cloud

PROGRAMMA:

NOME

k5start - Ottieni e opzionalmente mantieni attivo un ticket Kerberos

SINOSSI

k5start [-abFhLnPqstvx] [-c bambino pid filetto] [-f tastiera]
[-g gruppo] [-H verbale] [-I servizio esempio]
[-i cliente esempio] [-K verbale] [-k biglietto nascondiglio]
[-l tempo stringa] [-m modo] [-o proprietario]
[-p pid filetto] [-r servizio regno] [-S servizio Nome]
[-u cliente principale] [principale [command ...]]

k5start -U -f tastiera [-abFhLnPqstvx] [-c bambino pid filetto]
[-g gruppo] [-H verbale] [-I servizio esempio]
[-K verbale] [-k biglietto nascondiglio] [-l tempo stringa]
[-m modo] [-o proprietario] [-p pid filetto]
[-r servizio regno] [-S servizio Nome] [command ...]

DESCRIZIONE

k5start ottiene e memorizza nella cache un ticket di concessione ticket Kerberos iniziale per un principal.
k5start può essere utilizzato in alternativa a risultati, ma è destinato principalmente ad essere utilizzato da
programmi che vogliono utilizzare una keytab per ottenere le credenziali Kerberos, come un server web
che deve autenticarsi su un altro servizio come un server LDAP.

Normalmente, il mandante per il quale dare i biglietti dovrebbe essere specificato come il primo
discussione. principale può essere solo un nome principale (inclusa l'istanza facoltativa)
o una stringa principale e realm completa. Il -u ed -i le opzioni possono essere utilizzate in alternativa
meccanismo per specificare l'entità, ma in genere non sono così convenienti. se no
principal è dato come primo argomento o come argomento al -u opzione, il
l'entità client per impostazione predefinita è il nome utente Unix dell'utente in esecuzione k5start in default
ambito locale.

Facoltativamente, può essere dato un comando sulla riga di comando di k5start. Se è così, quel comando è
eseguito dopo l'autenticazione Kerberos (e in esecuzione aklog se lo si desidera), con l'apposito
variabili di ambiente impostate per puntarlo alla cache dei biglietti corretta. k5start sarà poi
continuare a funzionare, svegliandosi periodicamente per aggiornare le credenziali leggermente prima che lo facciano
scadono, fino al completamento del comando. (La frequenza con cui si sveglia per rinfrescarsi
le credenziali possono ancora essere controllate con il -K opzione.) Per eseguire in questa modalità, il pulsante
principal deve essere specificato come un normale argomento della riga di comando o tramite il -U
opzione; il -u ed -i le opzioni non possono essere utilizzate. Inoltre, una keytab deve essere specificata con -f
per eseguire un comando specifico.

Il comando non verrà eseguito utilizzando la shell, quindi se si desidera utilizzare i metacaratteri della shell in
il comando con il loro significato speciale, dai "sh -c comando" come comando per eseguire e
citare command.

Se il comando contiene opzioni della riga di comando (come "-c"), inserisci -- nella riga di comando
prima dell'inizio del comando per raccontare k5start per non analizzare tali opzioni come proprie.

Quando si esegue un comando, k5start propaga i segnali HUP, TERM, INT e QUIT al bambino
processo e non esce quando vengono ricevuti quei segnali. (Se il segnale propagato
fa uscire il processo figlio, k5start uscirà.) Ciò consente k5start reagire
correttamente quando eseguito sotto un sistema di supervisione del comando come eseguirlo(8) o svscan(8) quello
utilizza i segnali per controllare i comandi supervisionati e per eseguire comandi interattivi che dovrebbero
ricevere Ctrl-C.

Se una corsa k5start riceve un segnale ALRM, aggiorna immediatamente la cache dei biglietti
indipendentemente dal fatto che sia in pericolo di scadenza.

If k5start viene eseguito con un comando o il -K bandiera e il -x la bandiera non viene data, manterrà
provando anche se l'autenticazione iniziale fallisce. Riproverà l'autenticazione iniziale
immediatamente e poi con un backoff esponenziale a una volta al minuto e continua a provare fino a quando
l'autenticazione ha esito positivo o viene interrotta. Il comando, se presente, non verrà avviato fino a quando
l'autenticazione ha esito positivo.

VERSIONI

-a Quando viene eseguito con il -K flag o un comando, rinnova sempre i biglietti ogni volta k5start
si sveglia. Senza questa opzione, k5start proverà a rinnovare un biglietto solo tutte le volte che
necessario per evitare la scadenza del biglietto. Con questa opzione, k5start rinnoverà
biglietti secondo l'intervallo specificato con il -K bandiera.

Questo comportamento probabilmente avrebbe dovuto essere il comportamento predefinito di -K. L'impostazione predefinita era
non modificato per evitare modifiche per gli utenti esistenti, ma per nuove applicazioni, considerare
usando sempre -a con -K.

Questa opzione è importante se un altro programma sta manipolando la cache dei biglietti che
k5start sta usando. Ad esempio, se un altro programma rinnova automaticamente un biglietto
più frequentemente di k5start, poi k5start non vedrà mai un biglietto vicino a
in scadenza e quindi, per impostazione predefinita, non tenterà mai di rinnovare il biglietto. Questo significa
che k5start inoltre non rinnoverà mai i token AFS, anche se il -t l'opzione è stata data, poiché
k5start rinnova i token AFS solo dopo aver rinnovato con successo un ticket. Se questa opzione
è specificato in una situazione del genere, k5start rinnoverà il suo biglietto ogni volta che controlla
il biglietto, quindi i token AFS verranno rinnovati.

Questo argomento è valido solo in combinazione con entrambi -K o un comando da eseguire.

-b Dopo l'avvio, scollegati dal terminale di controllo ed esegui in background. Questo
opzione ha senso solo in combinazione con -K o un comando che k5start sarà
in esecuzione e può essere utilizzato solo se viene specificata una keytab con -f. k5start non sarà
sfondo stesso fino a quando non ha provato ad autenticarsi una volta, in modo che qualsiasi iniziale
verranno segnalati errori, ma reindirizzerà l'output a / Dev / null e no
gli errori successivi verranno segnalati.

Se viene dato questo flag, k5start cambierà anche le directory in "/". Tutti i percorsi (come
per quanto riguarda un comando da eseguire o un file PID) dovrebbe quindi essere dato come assoluto, non
relativo, percorsi.

Se usato insieme a un comando da eseguire, quel comando verrà eseguito anche nel
sfondo e avrà anche il suo input e output reindirizzato a / Dev / null. Lo farà
devono segnalare eventuali errori tramite un altro meccanismo affinché gli errori vengano visualizzati.

Tieni presente che su Mac OS X, il tipo di cache dei biglietti predefinito è per sessione e utilizza il -b
la bandiera si dissocia k5start dalla cache dei biglietti esistente. Quando si usa -b in
congiunzione con -K su Mac OS X, probabilmente vorrai usare anche il -k flag per specificare
un file di cache dei biglietti e forza l'uso di una cache di file.

Quando si utilizza questa opzione, considerare anche l'utilizzo -L riportare k5start errori a syslog.

-c bambino pid filetto
Salva l'ID del processo (PID) del processo figlio in bambino pid filetto. bambino pid filetto is
creato se non esiste e sovrascritto se esiste. Questa opzione è solo
consentito quando è stato dato un comando sulla riga di comando ed è più utile in combinazione
con -b per consentire la gestione del processo figlio in esecuzione.

Si noti che, se utilizzato con -b, il file PID viene scritto dopo k5start is
in background e cambia la sua directory di lavoro in /, quindi percorsi relativi per il PID
il file sarà relativo a / (probabilmente non quello che vuoi).

-F Non ricevere ticket inoltrabili anche se la configurazione locale dice di essere inoltrabili
biglietti per impostazione predefinita. Senza questa bandiera, k5start fa qualunque sia l'impostazione predefinita della libreria.

-f tastiera
Autenticati utilizzando la keytab tastiera piuttosto che chiedere una password. Una chiave per il
L'entità cliente deve essere presente in tastiera.

-g gruppo
Dopo aver creato la cache dei biglietti, cambia la proprietà del gruppo in gruppo, che può essere
il nome di un gruppo o un ID di gruppo numerico. Le cache dei biglietti vengono create con 0600
permessi per impostazione predefinita, quindi questo non avrà alcun effetto utile a meno che non venga utilizzato con -m.

-H verbale
Cerca un biglietto felice, definito come uno che ha una durata residua di almeno
verbale minuti. Se viene trovato tale ticket, non tentare l'autenticazione. Anziché,
basta eseguire il comando (se ne è stato specificato uno) o uscire immediatamente con lo stato 0 (se nessuno
era). Altrimenti, prova a ottenere un nuovo ticket e quindi esegui il comando, se presente.

If -H è usato con -t, il programma esterno verrà sempre eseguito anche se un biglietto con a
è stata trovata una durata residua sufficiente.

If -H è usato con -K, k5start non uscirà immediatamente. Invece, lo specificato
la durata residua sostituirà il valore predefinito di due minuti, il che significa che k5start
farà in modo, ogni volta che si sveglia, che il biglietto abbia una durata residua del
verbale discussione. Questa è un'alternativa a -a per garantire che i biglietti abbiano sempre un
certa quantità minima di vita residua.

-h Visualizza un messaggio di utilizzo ed esci.

-I servizio esempio
La parte dell'istanza dell'entità servizio. L'impostazione predefinita è il regno predefinito di
la macchina. Si noti che, a differenza dell'entità client, un'entità servizio non predefinita
deve essere specificato con -I ed -S; non è possibile fornire la porzione di istanza come parte di
l'argomento a -S.

-i cliente esempio
Specifica la parte dell'istanza dell'entità. Questa opzione non ha senso
tranne che in combinazione con -u. Nota che l'istanza può essere specificata come parte di
nome utente attraverso la normale convenzione di aggiungere una barra e poi l'istanza, quindi
non si deve mai usare questa opzione.

-K verbale
Esegui in modalità demone per mantenere in vita un ticket a tempo indeterminato. Il programma si risveglia dopo
verbale minuti, controlla se il biglietto scadrà prima o meno di due minuti
dopo il successivo controllo programmato e, se necessario, ottiene un nuovo biglietto. (In altre parole, è
assicura che il biglietto avrà sempre una durata residua di almeno due
minuti.) Se il -H viene anche fornito il flag, la durata specificata da esso sostituisce i due
minuto predefinito.

Se questa opzione non viene data ma è stato dato un comando sulla riga di comando, l'impostazione predefinita
l'intervallo è di 60 minuti (1 ora).

Se si verifica un errore durante l'aggiornamento della cache dei biglietti, l'intervallo di riattivazione sarà
ridotto a un minuto e l'operazione è stata ripetuta a quell'intervallo finché il
l'errore persiste.

-k biglietto nascondiglio
Usa il biglietto nascondiglio come la cache dei biglietti piuttosto che il contenuto dell'ambiente
variabile KRB5CCNAME o la libreria predefinita. biglietto nascondiglio potrebbe essere qualsiasi cache dei biglietti
identificatore riconosciuto dalle librerie Kerberos sottostanti. Questo generalmente supporta a
percorso di un file, con o senza una stringa "FILE:" iniziale, ma può anche supportare altri
tipi di cache dei biglietti.

Se uno di -o, -g, o -m sono dati, biglietto nascondiglio deve essere un semplice percorso di un file
o iniziare con "FILE:" o "WRFILE:".

-L Segnala i messaggi a syslog e allo standard output o all'errore standard. Tutto
i messaggi verranno registrati con la funzione LOG_DAEMON. Messaggi regolari che vengono visualizzati
sullo standard output vengono registrati con livello LOG_NOTICE. Errori che non causano k5start
per terminare vengono registrati con livello LOG_WARNING. Gli errori fatali vengono registrati con il livello
LOG_ERR.

Questo è utile durante il debug dei problemi in combinazione con -b.

-l tempo stringa
Imposta la durata del biglietto. tempo stringa dovrebbe essere in un formato riconosciuto da Kerberos
librerie per specificare i tempi, come "10h" (dieci ore) o "10m" (dieci minuti).
Le unità note sono "s", "m", "h" e "d". Per ulteriori informazioni, vedere risultati(1).

-m modo
Dopo aver creato la cache dei biglietti, modifica i suoi permessi sui file in modo, che deve essere a
modalità file in ottale (640 o 444, per esempio).

Impostazione a modo che non consente k5start leggere o scrivere nella cache dei biglietti sarà
causare k5start fallire ed uscire quando si utilizza il -K opzione o eseguendo un comando.

-n Ignorato, presente per la compatibilità delle opzioni con l'ormai obsoleto k4start.

-o proprietario
Dopo aver creato la cache dei biglietti, cambia la sua proprietà in proprietario, che può essere sia
il nome di un utente o un ID utente numerico. Se proprietario è il nome di un utente e -g Prima
non anche dato, cambia anche la proprietà del gruppo della cache dei biglietti al valore predefinito
gruppo per quell'utente.

-P Non ottenere i biglietti proxy anche se la configurazione locale dice di ottenere proxy
biglietti per impostazione predefinita. Senza questa bandiera, k5start fa qualunque sia l'impostazione predefinita della libreria.

-p pid filetto
Salva l'ID di processo (PID) dell'esecuzione k5start processo in pid filetto. pid filetto is
creato se non esiste e sovrascritto se esiste. Questa opzione è la maggior parte
utile in combinazione con -b per consentire la gestione della corsa k5start demone.

Si noti che, se utilizzato con -b il file PID viene scritto dopo k5start è sullo sfondo
e cambia la sua directory di lavoro in /, quindi i percorsi relativi per il file PID saranno
relativo a / (probabilmente non quello che vuoi).

-q Tranquillo. Sopprime la stampa del messaggio banner iniziale che dice cosa Kerberos
i biglietti principali vengono ottenuti per e sopprime anche la richiesta della password quando
, il -s l'opzione è data.

-r servizio regno
Il regno per l'entità servizio. Questa impostazione predefinita è l'ambito locale predefinito.

-S servizio Nome
Specifica il principale per il quale k5start sta ottenendo un biglietto di servizio. Il predefinito
il valore è "krbtgt", per ottenere un biglietto per la concessione del biglietto. Questa opzione (insieme a -I)
può essere utilizzato se si ha solo bisogno di accedere a un singolo servizio. Nota che a differenza del cliente
principale, un'entità servizio non predefinita deve essere specificata con entrambi -S ed -I; uno
non può fornire la parte dell'istanza come parte dell'argomento per -S.

-s Leggere la password dall'input standard. Questo ignora la normale richiesta della password,
il che significa che l'eco non è soppresso e l'input non è forzato a provenire dal controllo
terminale. La maggior parte degli usi di questa opzione rappresenta un rischio per la sicurezza. Normalmente vuoi usare a
keytab e il -f opzione invece.

-t Esegui un programma esterno dopo aver ottenuto un ticket. L'uso predefinito di questo è eseguire
aklog per ottenere un gettone. Se la variabile d'ambiente KINIT_PROG è impostata, sovrascrive il
predefinito compilato.

If k5start è stato costruito con AFS setpag() supporto e un comando è stato dato sul
riga di comando, k5start creerà un nuovo PAG prima di ottenere i token AFS. Altrimenti,
otterrà token nella PAG corrente.

-U Piuttosto che richiedere che il principale di autenticazione venga fornito sulla riga di comando, leggi
dalla keytab specificata con -f. Il preside sarà preso dal primo
inserimento nel keytab. -f deve essere specificato se viene utilizzata questa opzione.

Quando -U viene data, k5start non si aspetterà che venga dato un nome principale al comando
riga e qualsiasi argomento dopo le opzioni verrà preso come comando da eseguire.

-u cliente principale
Specifica l'entità con cui ottenere le credenziali. L'intero preside può essere
specificato qui, o in alternativa solo la prima parte può essere specificata con questo
flag e l'istanza specificata con -i.

Nota che normalmente non c'è motivo di usare questo flag piuttosto che dare semplicemente il
principal sulla riga di comando come primo argomento regolare.

-v Sii prolisso. Questo stamperà alcune informazioni aggiuntive su ciò che è in corso
tentato e quali sono i risultati.

-x Esci immediatamente in caso di errore. Normalmente, quando si esegue un comando o quando si esegue con il
-K opzione, k5start continua a funzionare anche se non riesce ad aggiornare la cache dei biglietti e lo farà
riprovare al prossimo intervallo di controllo. Con questa opzione, k5start uscirà invece.

RITORNO VALORI

Il programma esce con lo stato 0 se ottiene con successo un biglietto o ha un biglietto felice
(Vedi -H). Se k5start esegue aklog o qualche altro programma k5start restituisce lo stato di uscita di
quel programma.

ESEMPIO

Usa il /etc/krb5.keytab keytab per ottenere un biglietto di concessione del biglietto per il principale
host/example.com, inserendo la cache dei biglietti /tmp/service.tkt. La durata è di 10 ore
e il programma si riattiva ogni 10 minuti per verificare se il biglietto sta per scadere.

k5start -k /tmp/service.tkt -f /etc/krb5.keytab -K 10 -l 10h \
host/esempio.com

Fai lo stesso, ma usando la cache dei biglietti predefinita ed esegui il comando
/usr/local/bin/auth-backup. k5start continuerà a funzionare fino al termine del comando. Se
l'autenticazione iniziale fallisce, continua a provare e non avviare il comando finché non lo fa
riesce. Questo potrebbe essere usato durante l'avvio del sistema per un comando che deve essere valido
biglietti prima di iniziare, e tollera di avere k5start inizia prima che la rete sia
completamente impostato.

k5start -f /etc/krb5.keytab -K 10 -l 10h host/esempio.com \
/usr/local/bin/auth-backup

Mostra i permessi del file di cache temporaneo creato da k5start:

k5start -f /etc/krb5.keytab host/esempio.com \
-- sh -c 'ls -l $KRB5CCNAME'

Notare il "--" prima del comando per mantenere k5start dall'analisi della "-c" come propria
opzione.

Fai la stessa cosa, ma determina il principale dalla keytab:

k5start -f /etc/krb5.keytab -U -- sh -c 'ls -l $KRB5CCNAME'

Si noti che non viene fornito alcun principal prima del comando.

Avvia k5start come demone usando Debian start-stop-demone programma di gestione. Questo è
il tipo di riga che si potrebbe inserire in uno script di inizializzazione Debian:

start-stop-daemon --start --pidfile /var/run/k5start.pid \
--exec /usr/local/bin/k5start -- -b -p /var/run/k5start.pid \
-f /etc/krb5.keytab host/esempio.com

Questo utilizza /var/run/k5start.pid come file PID e ottiene i ticket host/example.com da
il file keytab di sistema. k5start sarebbe quindi fermato con:

start-stop-daemon --stop --pidfile /var/run/k5start.pid
rm -f /var/run/k5start.pid

Questo codice potrebbe essere aggiunto a uno script di inizializzazione per Apache, ad esempio, per avviare un k5start
processo insieme ad Apache per gestire le sue credenziali Kerberos.

AMBIENTE

Se la variabile d'ambiente AKLOG è impostata, il suo valore verrà utilizzato come programma da eseguire
con -t piuttosto che l'impostazione predefinita rispettata k5start. Se AKLOG non è impostato e KINIT_PROG
è impostato, verrà utilizzato il suo valore. KINIT_PROG è onorato per la compatibilità con le versioni precedenti
ma il suo uso non è raccomandato a causa del suo nome confuso.

Se nessun file ticket (con -k) o il comando è specificato nella riga di comando, k5start userà
la variabile d'ambiente KRB5CCNAME per determinare la posizione della concessione del biglietto
biglietto. Se viene specificato un comando o il -k viene utilizzata l'opzione, verrà impostato KRB5CCNAME
per puntare al file ticket prima di eseguire il aklog programma o qualsiasi comando dato sul
riga di comando.

Usa k5start online utilizzando i servizi onworks.net