ipa-getkeytab - Online sa Cloud

PROGRAMA:

NAME

ipa-getkeytab - Kumuha ng keytab para sa isang prinsipal ng Kerberos

SINOPSIS

ipa-getkeytab -p principal-pangalan -k keytab-file [ -e mga uri ng pag-encrypt ] [ -s ipaserver ] [
-q ] [ -D|--binddn BINDDN ] [ -w|--bindpw ] [ -P|--password PASSWORD ] [ -r ]

DESCRIPTION

Kinukuha ang isang Kerberos keytab.

Ginagamit ang mga keytab ng Kerberos para sa mga serbisyo (tulad ng sshd) upang maisagawa ang pagpapatotoo ng Kerberos. A
Ang keytab ay isang file na may isa o higit pang mga lihim (o mga susi) para sa isang punong-guro ng Kerberos.

Ang punong-guro ng serbisyo ng Kerberos ay isang pagkakakilanlan ng Kerberos na maaaring gamitin para sa pagpapatunay.
Ang mga punong-guro ng serbisyo ay naglalaman ng pangalan ng serbisyo, ang hostname ng server, at ang
pangalan ng kaharian. Halimbawa, ang sumusunod ay isang halimbawang punong-guro para sa isang ldap server:

ldap/[protektado ng email]

Kapag gumagamit ng ipa-getkeytab ang realm name ay ibinigay na, kaya ang principal name ay makatarungan
ang pangalan ng serbisyo at hostname (ldap/foo.example.com mula sa halimbawa sa itaas).

BABALA: ang pagbawi sa keytab ay nagre-reset ng sikreto para sa prinsipal ng Kerberos. Ito ay nagre-render
lahat ng iba pang keytab para sa principal na iyon ay hindi wasto.

Ito ay ginagamit sa panahon ng IPA client enrollment upang kunin ang isang punong-guro at tindahan ng serbisyo ng host
ito sa /etc/krb5.keytab. Posibleng kunin ang keytab nang walang mga kredensyal ng Kerberos
kung ang host ay paunang ginawa gamit ang isang beses na password. Ang keytab ay maaaring makuha ng
nagbubuklod bilang host at nagpapatotoo sa isang beses na password na ito. Ang -D|--binddn at
-w|--bindpw ang mga opsyon ay ginagamit para sa pagpapatunay na ito.

Opsyon

-p principal-pangalan
Ang hindi realm na bahagi ng buong punong-guro na pangalan.

-k keytab-file
Ang keytab file kung saan isasama ang bagong key (gagawin kung wala ito).

-e mga uri ng pag-encrypt
Ang listahan ng mga uri ng pag-encrypt na gagamitin upang makabuo ng mga susi. Ang ipa-getkeytab ay gagamit ng lokal
default ng kliyente kung hindi ibinigay. Nakadepende ang mga wastong halaga sa library ng Kerberos
bersyon at pagsasaayos. Ang mga karaniwang halaga ay: aes256-cts aes128-cts des3-hmac-sha1
arcfour-hmac des-hmac-sha1 des-cbc-md5 des-cbc-crc

-s ipaserver
Ang IPA server para kunin ang keytab mula sa (FQDN). Kung hindi ibinigay ang opsyong ito
ang pangalan ng server ay binasa mula sa IPA configuration file (/etc/ipa/default.conf)

-q Tahimik na mode. Mga error lang ang ipinapakita.

--permitted-enctypes
Ang mga opsyong ito ay nagbabalik ng paglalarawan ng mga pinapahintulutang uri ng pag-encrypt, tulad nito:
Mga sinusuportahang uri ng pag-encrypt: AES-256 CTS mode na may 96-bit SHA-1 HMAC AES-128 CTS
mode na may 96-bit SHA-1 HMAC Triple DES cbc mode na may HMAC/sha1 ArcFour na may
HMAC/md5 DES cbc mode na may CRC-32 DES cbc mode na may RSA-MD5 DES cbc mode na may
RSA-MD4

-P, --password
Gamitin ang password na ito para sa susi sa halip na isang random na nabuo.

-D, --binddn
Ang LDAP DN ay magbi-bind gaya ng kapag kumukuha ng keytab na walang mga kredensyal ng Kerberos.
Karaniwang ginagamit kasama ng -w pagpipilian.

-w, --bindpw
Ang password ng LDAP na gagamitin kapag hindi nagbubuklod sa Kerberos.

-r Retrieve mode. Kunin ang isang umiiral na key mula sa server sa halip na bumuo ng bago
isa. Ito ay hindi tugma sa --password na opsyon, at gagana lamang laban sa a
Ang server ng FreeIPA na mas bago kaysa sa bersyon 3.3. Ang user na humihiling ng keytab ay dapat
magkaroon ng access sa mga susi para magtagumpay ang operasyong ito.

HALIMBAWA

Magdagdag at kumuha ng keytab para sa NFS service principal sa host foo.example.com at
i-save ito sa file /tmp/nfs.keytab at kunin lang ang des-cbc-crc key.

# ipa-getkeytab -p nfs/foo.example.com -k /tmp/nfs.keytab -e des-cbc-crc

Magdagdag at kumuha ng keytab para sa ldap service principal sa host foo.example.com at
i-save ito sa file /tmp/ldap.keytab.

# ipa-getkeytab -s ipaserver.example.com -p ldap/foo.example.com -k /tmp/ldap.keytab

Kumuha ng keytab gamit ang mga kredensyal ng LDAP (karaniwan itong gagawin ng ipa-join(1) kailan
pagpapatala ng kliyente gamit ang ipa-client-install(1) utos:

# ipa-getkeytab -s ipaserver.example.com -p host/foo.example.com -k /etc/krb5.keytab -D
fqdn=foo.example.com,cn=computers,cn=accounts,dc=example,dc=com -w password

EXIT STATUS

Ang exit status ay 0 sa tagumpay, nonzero sa error.

0 Tagumpay

1 Nabigo ang pagsisimula ng konteksto ng Kerberos

2 Maling paggamit

3 Wala sa memorya

4 Di-wastong pangalan ng punong-guro ng serbisyo

5 Walang Kerberos na mga kredensyal na cache

6 Walang Kerberos principal at walang bind DN at password

7 Nabigong buksan ang keytab

8 Nabigong lumikha ng pangunahing materyal

9 Nabigo ang pagtatakda ng keytab

10 Kailangan ng Bind password kapag gumagamit ng bind DN

11 Nabigong magdagdag ng key sa keytab

12 Nabigong isara ang keytab

Gamitin ang ipa-getkeytab online gamit ang mga serbisyo ng onworks.net