aklog - Trực tuyến trên đám mây

CHƯƠNG TRÌNH:

TÊN

aklog - Nhận mã thông báo để xác thực AFS

SYNOPSIS

aklog [-d] [-các đám ma] [-zsub] [-noprdb] [-noauth] [liên kết]
[-lực lượng] [-524] [-setpag]
[[-tủ | -c]pin> [-k <Kerberos vương quốc>]] +

aklog [-d] [-các đám ma] [-zsub] [-noprdb] [-noauth] [liên kết]
[-lực lượng] [-524] [-setpag] [-con đường | -p]con đường>+

MÔ TẢ

Sản phẩm aklog chương trình xác thực đến một ô trong AFS bằng cách lấy mã thông báo AFS bằng cách sử dụng Kerberos
5 vé. Nếu như aklog được gọi mà không có đối số dòng lệnh, nó sẽ nhận được mã thông báo cho
ô cục bộ của máy trạm. Nó có thể được gọi với một số lượng ô tùy ý và
tên đường dẫn để lấy mã thông báo cho nhiều ô. aklog biết cách mở rộng tên ô
chữ viết tắt, do đó, các ô có thể được gọi bằng đủ các chữ cái để làm cho tên ô là duy nhất
trong số các ô mà máy trạm biết.

aklog nhận được mã thông báo bằng cách lấy vé dịch vụ Kerberos cho dịch vụ AFS và sau đó
lưu trữ nó như một mã thông báo. Theo mặc định, nó nhận được vé đó từ khu vực tương ứng với
ô đó (phiên bản viết hoa của tên ô), nhưng một lĩnh vực khác cho một cụ thể
ô có thể được chỉ định với -k. -k không thể được sử dụng trong -con đường chế độ (xem bên dưới).

Khi sử dụng ủy thác chéo của Kerberos 5, aklog tra cứu ID AFS tương ứng với
tên (chính của Kerberos) của người gọi lệnh và nếu người dùng không
tồn tại và "hệ thống:[email được bảo vệ]"Nhóm PTS tồn tại, sau đó nó cố gắng tự động
đăng ký của người dùng với ô nước ngoài. Người dùng sau đó được thêm vào
"hệ thống:[email được bảo vệ]"Nhóm PTS nếu đăng ký thành công. Tự động
đăng ký trong ô nước ngoài sẽ không thành công nếu hạn ngạch nhóm cho
"hệ thống:[email được bảo vệ]"ít hơn một nhóm. Mỗi đăng ký tự động
giảm hạn ngạch của nhóm đi một.

CÂU HỎI

Khi đang sử dụng aklog, lưu ý rằng AFS sử dụng định dạng đặt tên chính của Kerberos v4, không phải
Định dạng Kerberos v5, khi đề cập đến các nguyên tắc trong PTS ACL, Userlist, và tương tự
các địa điểm. AFS sẽ ánh xạ nội bộ các tên chính của Kerberos v5 với cú pháp Kerberos v4
bằng cách xóa bất kỳ phần nào của phiên bản sau khoảng thời gian đầu tiên (thường là tên miền
của hiệu trưởng), thay đổi bất kỳ "/" thành "." và thay đổi một phần chính ban đầu của
"máy chủ" thành "rcmd". Nói cách khác, để tạo mục nhập PTS cho giao diện chính của Kerberos v5
"user / admin", gọi nó là "user.admin" và cho "host / shell.example.com",
gọi nó là "rcmd.shell".

Sản phẩm aklog ánh xạ của Kerberos v5 gốc đến Kerberos v4 chính và xác định
rằng một vùng Kerberos là ngoại lai được thực hiện trong trường hợp không có máy chủ AFS thực tế
cấu hình. Nếu aklog ánh xạ của Kerberos v5 chính đến Kerberos v4 chính hoặc
xác định vùng nước ngoài là sai, tra cứu tên-mã của PTS sẽ tạo ra sai
ID AFS cho người dùng. ID AFS chỉ được sử dụng cho mục đích hiển thị và không nên
đáng tin cậy. Sử dụng -noprdb chuyển sang tắt tính năng tra cứu tên-thành-id PTS.

LỰA CHỌN

-524
Thông thường, aklog tạo mã thông báo K5 bản địa. Lá cờ này nói với aklog thay vào đó sử dụng
dịch vụ dịch thuật krb524 để tạo mã thông báo K4 hoặc rxkad2b, có thể cần thiết
cho các ô AFS không hỗ trợ mã thông báo K5 gốc. Hỗ trợ cho các mã thông báo K5 gốc là
được thêm vào OpenAFS 1.2.8.

-tủ <pin>, -c <pin>
Lá cờ này nói với aklog rằng đối số tiếp theo là tên của ô cần xác thực.
Nó thường không cần thiết; aklog thường xác định xem một đối số có phải là một ô hay không
hoặc tên đường dẫn dựa trên việc nó có chứa "/" hay là "." hoặc "..". Tế bào có thể là
tiếp theo -k để chỉ định lĩnh vực Kerberos tương ứng.

-d Bật tính năng in thông tin gỡ lỗi. Tùy chọn này không dành cho mục đích chung
người sử dụng.

-lực lượng
Thông thường, aklog sẽ không thay thế các mã thông báo bằng các mã thông báo mới có vẻ giống hệt nhau.
Nếu cờ này được đưa ra, nó sẽ bỏ qua bước kiểm tra đó.

-các đám ma
In tất cả các địa chỉ máy chủ có thể hoạt động như một điểm lỗi duy nhất trong
truy cập đường dẫn thư mục được chỉ định. Mỗi phần tử của đường dẫn được kiểm tra và
khối lượng mới được duyệt, nếu chúng không được sao chép, địa chỉ IP của máy chủ
có chứa khối lượng sẽ được hiển thị. Đầu ra có dạng:

tổ chức:

Tùy chọn này chỉ hữu ích khi kết hợp với đường dẫn dưới dạng đối số hơn là ô.

-k <Kerberos vương quốc>
Cờ này chỉ có hiệu lực ngay sau tên của ô. Nó nói aklog sử dụng
lĩnh vực Kerberos đó khi xác thực với ô trước đó. Theo mặc định, aklog sẽ
sử dụng lĩnh vực (theo cấu hình Kerberos cục bộ) của máy chủ cơ sở dữ liệu đầu tiên trong
ô, vì vậy cờ này thông thường sẽ không cần thiết.

liên kết
Nếu ô AFS được liên kết với một ô DCE, hãy nhận mã thông báo cho cả hai.

-noauth
Không thực sự xác thực, chỉ cần làm mọi thứ khác aklog thiết lập mã thông báo.

-noprdb
Thông thường, aklog tra cứu ID AFS tương ứng với tên của người đang gọi
lệnh và nếu người dùng không tồn tại, ô là một ô ngoại,
hệ thống:[email được bảo vệ] Nhóm PTS tồn tại và có hạn ngạch nhóm dương, sau đó
nó cố gắng đăng ký tự động người dùng với ô nước ngoài. Chỉ định điều này
cờ tắt chức năng này. Điều này có thể mong muốn nếu cơ sở dữ liệu bảo vệ
không có sẵn vì một số lý do và dù sao cũng muốn có mã thông báo hoặc nếu ai đó muốn
vô hiệu hóa đăng ký người dùng.

-con đường <tên đường dẫn>, -p <tên đường dẫn>
Lá cờ này nói với aklog rằng đối số tiếp theo là một đường dẫn trong AFS. aklog sẽ đi bộ đó
đường dẫn và lấy mã thông báo cho mọi ô cần thiết để truy cập tất cả các thư mục.
Thông thường, cờ này không cần thiết; aklog giả sử một đối số là một đường dẫn nếu nó
chứa "/" hoặc là "." hoặc "..".

-setpag
Khi đặt mã thông báo, hãy cố gắng đặt quy trình gốc trong một PAG mới. Điều này thường là
được sử dụng như một phần của quá trình đăng nhập nhưng có thể được sử dụng bất kỳ lúc nào để tạo AFS mới
bối cảnh xác thực. Lưu ý rằng điều này trong một số trường hợp là nguy hiểm và phức tạp
thao tác với các bản ghi hạt nhân và sẽ không hoạt động trên tất cả các nền tảng hoặc với tất cả Linux
hạt nhân.

-zsub
In thông tin đăng ký Zephyr để nhận thông báo về tất cả các tệp
máy chủ cần thiết để truy cập một đường dẫn cụ thể. Đầu ra có dạng:

zsub:

ở đâu là ví dụ của đăng ký Zephyr lớp "filsrv".

MÔI TRƯỜNG

KRB5CCNAME
Như với hầu hết các chương trình sử dụng bộ đệm ẩn vé Kerberos hiện có, aklog có thể được nói với
sử dụng bộ đệm khác với bộ đệm mặc định bằng cách đặt biến môi trường KRB5CCNAME. Trên
Hệ thống UNIX và Linux, biến này thường được đặt thành tên tệp, nhưng có thể trỏ đến
các loại bộ nhớ đệm khác. Xem tài liệu về triển khai Kerberos của bạn để biết thêm
chi tiết.

Sử dụng aklog trực tuyến bằng các dịch vụ onworks.net