kadmin - Online in de Cloud

PROGRAMMA:

NAAM

kadmin - Kerberos V5 databasebeheerprogramma

KORTE INHOUD

kadmin [-O|-N] [-r rijk] [-p hoofd-] [-q vraag] [[-c cache_naam]|[-k [-t toetstab]]|-n]
[-w wachtwoord] [-s beheerder_server[:port]]

kadmin.lokaal [-r rijk] [-p hoofd-] [-q vraag] [-d dbnaam] [-e enc:zout ...] [-m] [-x
db_args]

PRODUCTBESCHRIJVING

kadmin en kadmin.local zijn opdrachtregelinterfaces voor het Kerberos V5-beheer
systeem. Ze bieden vrijwel identieke functionaliteiten; het verschil is dat
kadmin.local heeft rechtstreeks toegang tot de KDC-database, terwijl kadmin bewerkingen uitvoert met behulp van
kadmind(8). Tenzij expliciet anders vermeld, zal deze manpagina "kadmin" gebruiken om
zie beide versies. kadmin zorgt voor het onderhoud van Kerberos-opdrachtgevers,
wachtwoordbeleid en servicesleuteltabellen (keytabs).

De externe kadmin-client gebruikt Kerberos om zich bij kadmind te authenticeren met behulp van de service
hoofd- kadmin/ADMINHOST (waar BEHEERDER is de volledig gekwalificeerde hostnaam van de beheerder
server) of kadmin/admin. Als de inloggegevenscache een ticket voor een van deze bevat
opdrachtgevers, en de -c de optiecredential_cache is opgegeven, wordt dat ticket gebruikt
authenticeer bij kadmind. Anders de -p en -k opties worden gebruikt om de client te specificeren
Kerberos-hoofdnaam die wordt gebruikt voor authenticatie. Zodra Kadmin de opdrachtgever heeft bepaald
naam, vraagt ​​het een serviceticket aan bij het KDC en gebruikt dat serviceticket om
authenticeer bij kadmind.

Omdat kadmin.local rechtstreeks toegang heeft tot de KDC-database, moet het meestal rechtstreeks worden uitgevoerd
de master-KDC met voldoende machtigingen om de KDC-database te lezen. Als de KDC-database
gebruikt de LDAP-databasemodule, kadmin.local kan worden uitgevoerd op elke host die toegang heeft tot de
LDAP-server.

OPTIES

-r rijk
Te gebruiken rijk als het standaarddatabasedomein.

-p hoofd-
Te gebruiken hoofd- authenticeren. Anders voegt kadmin toe /beheerder naar de primaire
hoofdnaam van de standaardcache, de waarde van de GEBRUIKER omgevingsvariabele,
of de gebruikersnaam zoals verkregen met getpwuid, in volgorde van voorkeur.

-k Gebruik een keytab om het KDC-antwoord te decoderen in plaats van om een ​​wachtwoord te vragen. In
in dit geval zal de standaardhoofdsom zijn host/hostnaam. Als er geen toetsenbord is
gespecificeerd met de -t optie, dan wordt het standaardtoetsenbord gebruikt.

-t toetstab
Te gebruiken toetstab om het KDC-antwoord te decoderen. Dit kan alleen worden gebruikt met de -k optie.

-n Verzoekt anonieme verwerking. Er worden twee soorten anonieme principals ondersteund.
Voor volledig anonieme Kerberos configureert u PKINIT op de KDC en configureert u deze
pkinit_ankers bij de cliënt krb5.conf(5). Gebruik dan de -n optie met a
hoofdsom van het formulier @RIJK (een lege hoofdnaam gevolgd door het apenstaartje en een
rijksnaam). Indien toegestaan ​​door het KDC, wordt een anoniem ticket geretourneerd. A
tweede vorm van anonieme tickets wordt ondersteund; deze aan het rijk blootgestelde kaartjes verbergen de
identiteit van de cliënt, maar niet het domein van de cliënt. Gebruik voor deze modus Kinit -n
met een normale hoofdnaam. Indien ondersteund door de KDC, de opdrachtgever (maar niet
realm) wordt vervangen door de anonieme opdrachtgever. Vanaf release 1.8 is de MIT
Kerberos KDC ondersteunt alleen volledig anonieme werking.

-c inloggegevens_cache
Te gebruiken inloggegevens_cache als de inloggegevenscache. De cache moet een service bevatten
kaartje voor de kadmin/ADMINHOST (waar BEHEERDER is de volledig gekwalificeerde hostnaam van
de beheerdersserver) of kadmin/admin dienst; het kan worden verkregen met de Kinit(1)
programma. Als deze optie niet is opgegeven, vraagt ​​kadmin een nieuw serviceticket aan
van de KDC, en slaat deze op in zijn eigen tijdelijke ccache.

-w wachtwoord
Te gebruiken wachtwoord in plaats van erom te vragen. Wees voorzichtig met het gebruik van deze optie
stel het wachtwoord via de proceslijst beschikbaar voor andere gebruikers op het systeem.

-q vraag
Voer de opgegeven query uit en sluit vervolgens af. Dit kan handig zijn bij het schrijven van scripts.

-d dbnaam
Specificeert de naam van de KDC-database. Deze optie is niet van toepassing op de LDAP
databasemodule.

-s beheerder_server[:port]
Specificeert de beheerdersserver waarmee kadmin contact moet opnemen.

-m Als u kadmin.local gebruikt, vraag dan om het databasehoofdwachtwoord in plaats van te lezen
het uit een stash-bestand.

-e enc:zout ...
Stelt de sleutelzoutlijst in die moet worden gebruikt voor nieuwe sleutels die worden gemaakt. Zien Keysalt_lijsten in
kdc.conf(5) voor een lijst met mogelijke waarden.

-O Forceer het gebruik van de oude authenticatievariant AUTH_GSSAPI.

-N Voorkom terugval naar AUTH_GSSAPI-authenticatievariant.

-x db_args
Specificeert de databasespecifieke argumenten. Zie het volgende gedeelte voor ondersteunde versies
opties.

DATABASE OPTIES

Databaseopties kunnen worden gebruikt om databasespecifieke standaardwaarden te overschrijven. Ondersteunde opties
voor de DB2-module zijn:

-x dbnaam=*bestandsnaam*
Specificeert de basisbestandsnaam van de DB2-database.

-x slot
Zorg ervoor dat iteratiebewerkingen de vergrendeling voor de duur van het geheel vasthouden
bediening, in plaats van de vergrendeling tijdelijk los te laten terwijl u ze hanteert
voornaam. Dit is het standaardgedrag, maar deze optie bestaat om dit toe te staan
opdrachtregeloverschrijving van een [dbmodules]-instelling. Voor het eerst geïntroduceerd in release
1.13.

-x ontgrendelaar
Laat iteratiebewerkingen de database voor elke opdrachtgever ontgrendelen, in plaats van
het slot gedurende de hele operatie vasthouden. Voor het eerst geïntroduceerd in
1.13 release.

Ondersteunde opties voor de LDAP-module zijn:

-x gastheer=ldapuri
Specificeert de LDAP-server waarmee verbinding moet worden gemaakt via een LDAP-URI.

-x bind=bind_dn
Specificeert de DN die wordt gebruikt om verbinding te maken met de LDAP-server.

-x bindpwd=wachtwoord
Specificeert het wachtwoord of het SASL-geheim dat wordt gebruikt om verbinding te maken met de LDAP-server. Gebruik makend van
deze optie kan het wachtwoord via het proces openbaar maken voor andere gebruikers op het systeem
lijst; Om dit te voorkomen, kunt u het wachtwoord in plaats daarvan opslaan met behulp van de stashsrvpw bevel van
kdb5_ldap_util(8).

-x sasl_mech=mechanisme
Specificeert het SASL-mechanisme dat wordt gebruikt om verbinding te maken met de LDAP-server. De binding-DN is
genegeerd als een SASL-mechanisme wordt gebruikt. Nieuw in versie 1.13.

-x sasl_authcid=naam
Specificeert de authenticatienaam die wordt gebruikt bij het binden aan de LDAP-server met a
SASL-mechanisme, als het mechanisme dit vereist. Nieuw in versie 1.13.

-x sasl_authzid=naam
Specificeert de autorisatienaam die wordt gebruikt bij het binden aan de LDAP-server met a
SASL-mechanisme. Nieuw in release 1.13.

-x sasl_realm=rijk
Specificeert de realm die wordt gebruikt bij het binden aan de LDAP-server met een SASL-mechanisme,
als het mechanisme er een gebruikt. Nieuw in release 1.13.

-x debuggen=niveau
stelt het foutopsporingsniveau van de OpenLDAP-clientbibliotheek in. niveau is een geheel getal
geïnterpreteerd door de bibliotheek. Foutopsporingsberichten worden afgedrukt met de standaardfout.
Nieuw in release 1.12.

COMMANDO'S

Wanneer u de externe client gebruikt, zijn de beschikbare opdrachten mogelijk beperkt volgens de
rechten gespecificeerd in de kadm5.acl(5) bestand op de beheerdersserver.

add_principal
add_principal [opties] nieuwe prins

Creëert de hoofdsom nieuwe prins, waarbij tweemaal om een ​​wachtwoord wordt gevraagd. Als er geen wachtwoordbeleid is
gespecificeerd met de -beleid optie en het genoemde beleid verzuim wordt toegewezen aan de
hoofdsom, als deze bestaat. Als u echter een beleid maakt met de naam verzuim zal niet automatisch gebeuren
wijs dit beleid toe aan eerder bestaande opdrachtgevers. Deze beleidsopdracht kan zijn
onderdrukt met de -duidelijk beleid optie.

Voor deze opdracht is de toevoegen voorrecht.

aliassen: voegprinc, Ank

Opties:

-verlopen vervaldatum
(krijg datum string) De vervaldatum van de hoofdsom.

-pwexpire pwexpdate
(krijg datum string) De vervaldatum van het wachtwoord.

-maxleven maxleven
(krijg datum string) De maximale ticketlevensduur voor de opdrachtgever.

-maxvernieuwleven maxvernieuwleven
(krijg datum string) De maximale verlengbare levensduur van tickets voor de opdrachtgever.

-kvnr kvn
Het initiële versienummer van de sleutel.

-beleid beleidsmaatregelen
Het wachtwoordbeleid dat door deze opdrachtgever wordt gebruikt. Indien niet gespecificeerd, het beleid verzuim
wordt gebruikt als het bestaat (tenzij -duidelijk beleid is gespecificeerd).

-duidelijk beleid
Voorkomt dat beleid wordt toegewezen wanneer -beleid is niet gespecificeerd.

{-|+}allow_postdated
-allow_postdated verbiedt deze opdrachtgever gepostdateerde tickets te verkrijgen.
+allow_postdated maakt deze vlag schoon.

{-|+}allow_forwardable
-allow_forwardable verbiedt deze opdrachtgever om doorstuurbare tickets te verkrijgen.
+toelaatbaar maakt deze vlag schoon.

{-|+}allow_renewable
-toestaan_hernieuwbaar verbiedt deze opdrachtgever om hernieuwbare tickets te verkrijgen.
+toestaan_hernieuwbaar maakt deze vlag schoon.

{-|+}allow_proxiable
-allow_proxiable verbiedt deze opdrachtgever om proxiabele tickets te verkrijgen.
+allow_proxiable maakt deze vlag schoon.

{-|+}allow_dup_skey
-allow_dup_skey schakelt gebruiker-naar-gebruiker-authenticatie voor deze opdrachtgever uit door
waardoor deze opdrachtgever wordt verboden een sessiesleutel voor een andere gebruiker te verkrijgen.
+allow_dup_skey maakt deze vlag schoon.

{-|+}vereist_preauth
+vereist_preauth vereist dat deze opdrachtgever zich vooraf authenticeert voordat hij wordt toegestaan
naar kinit. -vereist_preauth maakt deze vlag schoon. Wanneer +vereist_preauth is ingesteld op a
serviceprincipal, zal het KDC alleen servicetickets voor die service uitgeven
principal als de initiële authenticatie van de client is uitgevoerd met behulp van
preauthenticatie.

{-|+}vereist_hwauth
+vereist_hwauth vereist dat deze opdrachtgever vooraf authenticeert met behulp van een hardwareapparaat
voordat hij mocht kiniten. -vereist_hwauth maakt deze vlag schoon. Wanneer
+vereist_hwauth is ingesteld op een service-principal, zal de KDC alleen service verlenen
tickets voor die service-principal als de initiële authenticatie van de client was
uitgevoerd met behulp van een hardwareapparaat om vooraf te verifiëren.

{-|+}ok_as_delegate
+ok_als_gedelegeerde stelt de okay as delegeren vlag op tickets die hiermee zijn uitgegeven
opdrachtgever als dienst. Clients kunnen deze vlag gebruiken als een hint dat referenties
moet worden gedelegeerd bij authenticatie bij de service. -ok_as_delegate wist
deze vlag.

{-|+}allow_svr
-allow_svr verbiedt de uitgifte van servicetickets voor deze opdrachtgever.
+allow_svr maakt deze vlag schoon.

{-|+}allow_tgs_req
-allow_tgs_req geeft aan dat een Ticket-Granting Service (TGS) een aanvraag voor een dienst indient
ticket voor deze opdrachtgever is niet toegestaan. +allow_tgs_req maakt deze vlag schoon.

{-|+}allow_tix
-allow_tix verbiedt de uitgifte van tickets voor deze opdrachtgever. +toestaan_tix
maakt deze vlag schoon.

{-|+}verandering nodig
+verandering nodig dwingt een wachtwoordwijziging af bij de volgende initiële authenticatie hiervan
main. -verandering nodig maakt deze vlag schoon.

{-|+}wachtwoord_veranderende_service
+wachtwoord_veranderende_service markeert deze opdrachtgever als een service voor het wijzigen van wachtwoorden
main.

{-|+}ok_to_auth_as_delegate
+ok_naar_auth_as_delegate staat deze opdrachtgever toe om doorstuurbare tickets te verwerven
zichzelf van willekeurige gebruikers, voor gebruik met beperkte delegatie.

{-|+}geen_auth_data_vereist
+no_auth_data_required voorkomt dat PAC- of AD-SIGNEDPATH-gegevens worden toegevoegd
servicetickets voor de opdrachtgever.

-randsleutel
Stelt de sleutel van de opdrachtgever in op een willekeurige waarde.

-geen sleutel Zorgt ervoor dat de principal zonder sleutel wordt gemaakt. Nieuw in release 1.12.

-pw wachtwoord
Stelt het wachtwoord van de opdrachtgever in op de opgegeven tekenreeks en vraagt ​​er niet om
een wachtwoord. Opmerking: het gebruik van deze optie in een shellscript kan het wachtwoord blootstellen
andere gebruikers op het systeem via de proceslijst.

-e enc:zout, ...
Gebruikt de opgegeven keysalt-lijst voor het instellen van de sleutels van de opdrachtgever. Zien
Keysalt_lijsten in kdc.conf(5) voor een lijst met mogelijke waarden.

-x db_princ_args
Geeft databasespecifieke opties aan. De opties voor de LDAP-databasemodule zijn:

-x dn=dn
Specificeert het LDAP-object dat de Kerberos-principal zal bevatten
aangemaakt.

-x gekoppeldn=dn
Specificeert het LDAP-object waarnaar de nieuw gemaakte Kerberos-principal verwijst
voorwerp zal wijzen.

-x containerdn=container_dn
Specificeert het containerobject waaronder de Kerberos-principal moet komen te staan
aangemaakt.

-x tktbeleid=beleidsmaatregelen
Koppelt een ticketbeleid aan de Kerberos-principal.

NOTITIE:

· De containerdn en gelinktn opties kunnen niet worden opgegeven met de dn optie.

· Als de dn or containerdn opties zijn niet gespecificeerd tijdens het toevoegen van de hoofdsom,
de opdrachtgevers worden gemaakt onder de hoofdcontainer die is geconfigureerd in het
realm of de realm-container.

· dn en containerdn moet zich binnen de substructuren of de hoofdcontainer bevinden
geconfigureerd in het domein.

Voorbeeld:

kadmin: addprinc jennifer
WAARSCHUWING: geen beleid gespecificeerd voor "[e-mail beveiligd]";
geen beleid voeren.
Voer het wachtwoord voor de directeur in [e-mail beveiligd]:
Voer het wachtwoord voor de opdrachtgever opnieuw in [e-mail beveiligd]:
Voornaam "[e-mail beveiligd]" gemaakt.
kadmin:

wijzig_principal
wijzig_principal [opties] hoofd-

Wijzigt de opgegeven hoofdsom, waarbij de velden worden gewijzigd zoals opgegeven. De opties om
add_principal zijn ook van toepassing op deze opdracht, behalve voor de -randsleutel, -pw en -e opties.
Daarnaast de optie -duidelijk beleid zal het huidige beleid van een opdrachtgever helder maken.

Voor deze opdracht is de wijzigen voorrecht.

Alias: modprinc

Opties (naast de voegprinc opties):

-ontgrendelen
Ontgrendelt een vergrendelde hoofdsom (een die te veel mislukte authenticatie heeft ontvangen).
pogingen zonder voldoende tijd ertussen volgens het wachtwoordbeleid) zodat
het kan met succes authenticeren.

hernoem_principal
hernoem_principal [-dwingen] oude_principaal nieuwe_opdrachtgever

Hernoemt het opgegeven oude_principaal naar nieuwe_opdrachtgever. Deze opdracht vraagt ​​om
bevestiging, tenzij de -dwingen optie wordt gegeven.

Voor deze opdracht is de toevoegen en verwijderen privileges.

Alias: renprinc

delete_principal
delete_principal [-dwingen] hoofd-

Verwijdert het opgegeven hoofd- uit de databank. Deze opdracht vraagt ​​om verwijdering,
Tenzij de -dwingen optie wordt gegeven.

Voor deze opdracht is de verwijderen voorrecht.

Alias: delprinc

verander wachtwoord
verander wachtwoord [opties] hoofd-

Wijzigt het wachtwoord van hoofd-. Vraagt ​​om een ​​nieuw wachtwoord als geen van beide -randsleutel or -pw
is gespecificeerd.

Voor deze opdracht is de veranderpw privilege, of dat de opdrachtgever die het programma uitvoert, is
hetzelfde als de hoofdsom die wordt gewijzigd.

Alias: cpw

De volgende opties zijn beschikbaar:

-randsleutel
Stelt de sleutel van de opdrachtgever in op een willekeurige waarde.

-pw wachtwoord
Stel het wachtwoord in op de opgegeven tekenreeks. Het gebruik van deze optie in een script kan blootleggen
het wachtwoord doorgeven aan andere gebruikers op het systeem via de proceslijst.

-e enc:zout, ...
Gebruikt de opgegeven keysalt-lijst voor het instellen van de sleutels van de opdrachtgever. Zien
Keysalt_lijsten in kdc.conf(5) voor een lijst met mogelijke waarden.

-houden
Bewaart de bestaande sleutels in de database. Deze vlag is meestal niet nodig, behalve
misschien voor krbtgt opdrachtgevers.

Voorbeeld:

kadmin: cpw systeemtest
Voer het wachtwoord voor de directeur in [e-mail beveiligd]:
Voer het wachtwoord voor de opdrachtgever opnieuw in [e-mail beveiligd]:
Wachtwoord voor [e-mail beveiligd] gewijzigd.
kadmin:

purgesleutels
purgesleutels [-allemaal|-houdkvno oudste_kvno_to_keep] hoofd-

Verwijdert eerder bewaarde oude sleutels (bijv. van verander wachtwoord -houden) van hoofd-.
If -houdkvno is opgegeven, worden alleen sleutels opgeschoond met een kvnos lager dan
oudste_kvno_to_keep. Indien -allemaal is opgegeven, worden alle sleutels gewist. De -allemaal Optie is
nieuw in release 1.12.

Voor deze opdracht is de wijzigen voorrecht.

get_principal
get_principal [-korte] hoofd-

Haalt de kenmerken van de opdrachtgever op. Met de -korte optie, voert velden uit zoals geciteerd
door tabs gescheiden tekenreeksen.

Voor deze opdracht is de informeren privilege, of dat de opdrachtgever het programma uitvoert
hetzelfde zijn als degene die wordt vermeld.

Alias: krijgprinc

Voorbeelden:

kadmin: getprinc tlyu/admin
Directeur: tlyu/[e-mail beveiligd]
Vervaldatum: [nooit]
Laatste wachtwoordwijziging: ma 12 augustus 14:16:47 EDT 1996
Vervaldatum wachtwoord: [geen]
Maximale levensduur van het ticket: 0 dagen 10:00:00
Maximale hernieuwbare levensduur: 7 dagen 00:00:00
Laatst gewijzigd: ma 12 augustus 14:16:47 EDT 1996 (bjaspan/[e-mail beveiligd])
Laatste succesvolle authenticatie: [nooit]
Laatste mislukte authenticatie: [nooit]
Mislukte wachtwoordpogingen: 0
Aantal sleutels: 2
Legenda: vno 1, des-cbc-crc
Sleutel: vno 1, des-cbc-crc:v4
Attributen:
Beleid: [geen]

kadmin: getprinc -korte systest
[e-mail beveiligd] 3 86400 604800 1
785926535 753241234 785900000
tlyu/[e-mail beveiligd] 786100034 0 0
kadmin:

lijst_principals
lijst_principals [uitdrukking]

Haalt alle of enkele hoofdnamen op. uitdrukking is een glob-expressie in shell-stijl die
kan de jokertekens bevatten ?, * en []. Alle hoofdnamen die overeenkomen met de
uitdrukking worden afgedrukt. Als er geen uitdrukking wordt opgegeven, worden alle hoofdnamen afgedrukt.
Als de expressie geen @ karakter, en @ karakter gevolgd door de lokale
realm wordt aan de uitdrukking toegevoegd.

Voor deze opdracht is de lijst voorrecht.

Alias: lijstprinsen, get_principals, krijg_prinsen

Voorbeeld:

kadmin: listprincs-test*
[e-mail beveiligd]
[e-mail beveiligd]
[e-mail beveiligd]
[e-mail beveiligd]
kadmin:

get_strings
get_strings hoofd-

Toont tekenreeksattributen aan hoofd-.

Voor deze opdracht is de informeren voorrecht.

Alias: haalstr

set_tekenreeks
set_tekenreeks hoofd- naam waarde

Zet een stringattribuut aan hoofd-. Stringattributen worden gebruikt om per hoofdsom te leveren
configuratie naar de KDC en enkele KDC-plug-inmodules. Het volgende tekenreekskenmerk
namen worden erkend door de KDC:

session_enctypes
Specificeert de versleutelingstypen die worden ondersteund voor sessiesleutels wanneer de opdrachtgever dat is
geverifieerd als server. Zien Versleutelingstypes in kdc.conf(5) voor een lijst met
de geaccepteerde waarden.

otp Maakt pre-authenticatie met eenmalige wachtwoorden (OTP) mogelijk voor een client hoofd-. De
waarde is een JSON-tekenreeks die een array van objecten vertegenwoordigt, elk met optioneel type dan:
en gebruikersnaam te worden.

Voor deze opdracht is de wijzigen voorrecht.

Alias: setstr

Voorbeeld:

set_string host/foo.mit.edu session_enctypes aes128-cts
set_tekenreeks [e-mail beveiligd] otp [{"type:hotp","gebruikersnaam: aangepast"}]

del_string
del_string hoofd- sleutel

Verwijdert een tekenreeksattribuut uit hoofd-.

Voor deze opdracht is de verwijderen voorrecht.

Alias: delstr

voeg_beleid toe
voeg_beleid toe [opties] beleidsmaatregelen

Voegt een wachtwoordbeleid toe met de naam beleidsmaatregelen naar de databank.

Voor deze opdracht is de toevoegen voorrecht.

Alias: toevoegenpol

De volgende opties zijn beschikbaar:

-maxleven niet de tijd of
(krijg datum string) Stelt de maximale levensduur van een wachtwoord in.

-mijn leven niet de tijd of
(krijg datum string) Stelt de minimale levensduur van een wachtwoord in.

-minimale lengte lengte
Stelt de minimale lengte van een wachtwoord in.

-minklassen aantal
Stelt het minimumaantal tekenklassen in dat vereist is in een wachtwoord. De vijf
tekenklassen zijn kleine letters, hoofdletters, cijfers, interpunctie en
witruimte/onafdrukbare tekens.

-geschiedenis aantal
Stelt het aantal oude sleutels in dat voor een opdrachtgever wordt bewaard. Deze optie wordt niet ondersteund
met de LDAP KDC-databasemodule.

-maxmislukking max. aantal
Stelt het aantal authenticatiefouten in voordat de opdrachtgever wordt vergrendeld.
Authenticatiefouten worden alleen bijgehouden voor principals waarvoor dit vereist is
preauthenticatie. De teller van mislukte pogingen wordt na een succesvolle poging opnieuw op 0 gezet
proberen te authenticeren. A max. aantal De waarde 0 (de standaardwaarde) schakelt de uitsluiting uit.

-interval voor het tellen van fouten mislukkingstijd
(krijg datum string) Stelt de toegestane tijd in tussen authenticatiefouten. Als een
authenticatiefout treedt daarna op mislukkingstijd is verstreken sinds de vorige
mislukt, wordt het aantal authenticatiefouten teruggezet op 1. A mislukkingstijd waarde
van 0 (de standaardwaarde) betekent voor altijd.

-uitsluitingsduur uitsluitingstijd
(krijg datum string) Stelt de duur in waarvoor de opdrachtgever is vergrendeld
authenticeren als er te veel authenticatiefouten optreden zonder de opgegeven waarden
verstreken fouttellingsinterval. Een duur van 0 (de standaardwaarde) betekent de hoofdsom
blijft vergrendeld totdat het administratief wordt ontgrendeld met modprinc -ontgrendelen.

-toegestane sleutelzouten
Specificeert de sleutel/zout-tupels die worden ondersteund voor langetermijnsleutels bij het instellen of wijzigen
het wachtwoord/de sleutels van een opdrachtgever. Zien Keysalt_lijsten in kdc.conf(5) voor een lijst van de
geaccepteerde waarden, maar houd er rekening mee dat sleutel-/zouttupels moeten worden gescheiden door komma's (',')
alleen. Om het toegestane sleutel-/zoutbeleid te wissen, gebruikt u de waarde '-'.

Voorbeeld:

kadmin: add_policy -maxlife "2 dagen" -minlengte 5 gasten
kadmin:

wijzig_beleid
wijzig_beleid [opties] beleidsmaatregelen

Wijzigt het wachtwoordbeleid met de naam beleidsmaatregelen. Opties zijn zoals beschreven voeg_beleid toe.

Voor deze opdracht is de wijzigen voorrecht.

Alias: modpol

verwijder_beleid
verwijder_beleid [-dwingen] beleidsmaatregelen

Verwijdert het wachtwoordbeleid met de naam beleidsmaatregelen. Vraagt ​​om bevestiging voordat het wordt verwijderd. De
De opdracht mislukt als het beleid door een van de opdrachtgevers wordt gebruikt.

Voor deze opdracht is de verwijderen voorrecht.

Alias: delpol

Voorbeeld:

kadmin: del_policy gasten
Weet u zeker dat u het beleid 'gasten' wilt verwijderen?
(ja/nee): ja
kadmin:

get_beleid
get_beleid [ -korte ] beleidsmaatregelen

Geeft de waarden weer van het genoemde wachtwoordbeleid beleidsmaatregelen. Met de -korte vlag, uitgangen
de velden als tekenreeksen tussen aanhalingstekens, gescheiden door tabs.

Voor deze opdracht is de informeren voorrecht.

Alias: getpol

Voorbeelden:

kadmin: get_policy beheerder
Beleid: beheerder
Maximale levensduur van het wachtwoord: 180 dagen 00:00:00
Minimale levensduur van het wachtwoord: 00:00:00
Minimale wachtwoordlengte: 6
Minimumaantal wachtwoordtekenklassen: 2
Aantal oude sleutels bewaard: 5
Referentietelling: 17

kadmin: get_policy -korte beheerder
beheerder 15552000 0 6 2 5 17
kadmin:

Het 'Referentieaantal' is het aantal opdrachtgevers dat dat beleid gebruikt. Met de LDAP KDC
databasemodule, heeft het referentietellingsveld geen betekenis.

lijst_beleid
lijst_beleid [uitdrukking]

Haalt alle of sommige beleidsnamen op. uitdrukking is een glob-expressie in shell-stijl die dat wel kan
bevatten de jokertekens ?, * en []. Alle beleidsnamen die overeenkomen met de expressie
zijn afgedrukt. Als er geen expressie wordt opgegeven, worden alle bestaande beleidsnamen afgedrukt.

Voor deze opdracht is de lijst voorrecht.

aliassen: lijstpolen, get_beleid, krijgenpols.

Voorbeelden:

kadmin: listpols
testpol
alleen dicteren
een keer per minuut
test-pol-nopw

kadmin: lijstpols t*
testpol
test-pol-nopw
kadmin:

kaddd
kaddd [Opties] hoofd-
kaddd [Opties] -bol prins-exp

Voegt een toe hoofd-, of alle hoofdpersonen komen overeen prins-exp, naar een keytab-bestand. Elk
De sleutels van de opdrachtgever worden tijdens het proces willekeurig verdeeld. De regels voor prins-exp worden beschreven in
de lijst_principals opdracht.

Voor deze opdracht is de informeren en veranderpw privileges. Met de -bol vorm, het ook
vereist de lijst voorrecht.

De opties zijn:

-k[eytab] toetstab
Te gebruiken toetstab als het keytab-bestand. Anders wordt het standaardtoetsenbord gebruikt.

-e enc:zout, ...
Gebruikt de opgegeven keysalt-lijst voor het instellen van de nieuwe sleutels van de opdrachtgever. Zien
Keysalt_lijsten in kdc.conf(5) voor een lijst met mogelijke waarden.

-q Geef minder uitgebreide informatie weer.

-noordsleutel
Maak de sleutels niet willekeurig. De sleutels en hun versienummers blijven ongewijzigd. Dit
optie is alleen beschikbaar in kadmin.local en kan niet in combinatie worden opgegeven
met de -e optie.

Er wordt een vermelding toegevoegd voor elk van de unieke versleutelingstypen van de opdrachtgever, waarbij meerdere worden genegeerd
sleutels met hetzelfde coderingstype maar met verschillende salt-typen.

Voorbeeld:

kadmin: ktadd -k /tmp/foo-new-keytab host/foo.mit.edu
Inzending voor hoofdgastheer/[e-mail beveiligd] met kvno 3,
coderingstype aes256-cts-hmac-sha1-96 toegevoegd aan keytab
BESTAND:/tmp/foo-new-keytab
kadmin:

verwijderen
verwijderen [Opties] hoofd- [kvn | allen | oud]

Verwijdert vermeldingen voor het opgegeven hoofd- van een toetsenbord. Vereist geen toestemmingen, sindsdien
hiervoor is geen databasetoegang vereist.

Als de tekenreeks "all" is opgegeven, worden alle vermeldingen voor die opdrachtgever verwijderd; als de
string "oud" is opgegeven, alle vermeldingen voor die opdrachtgever behalve die met de hoogste
kvno worden verwijderd. Anders wordt de opgegeven waarde geparseerd als een geheel getal en alle vermeldingen
waarvan de kvno overeenkomt met dat gehele getal, worden verwijderd.

De opties zijn:

-k[eytab] toetstab
Te gebruiken toetstab als het keytab-bestand. Anders wordt het standaardtoetsenbord gebruikt.

-q Geef minder uitgebreide informatie weer.

Voorbeeld:

kadmin: verwijder kadmin/admin all
Invoer voor hoofdkadmin/admin met kvno 3 verwijderd uit keytab
BESTAND:/etc/krb5.keytab
kadmin:

slot
Database exclusief vergrendelen. Gebruik uiterst voorzichtig! Deze opdracht werkt alleen met de
DB2 KDC-databasemodule.

openen
Geef de exclusieve databasevergrendeling vrij.

lijst_verzoeken
Lijsten beschikbaar voor kadmin-aanvragen.

aliassen: lr, ?

ophouden
Programma afsluiten. Als de database is vergrendeld, wordt de vergrendeling opgeheven.

aliassen: afrit, q

GESCHIEDENIS

Het kadmin-programma is oorspronkelijk geschreven door Tom Yu van MIT, als interface voor het
OpenVision Kerberos-beheerprogramma.

Gebruik kadmin online met de services van onworks.net