Kerberos Server: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(21 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
−
=install=
+
= Ziel =
−
apt-get install krb5-kdc krb5-admin-server
+
Einrichten eines Kerberos-Servers auf einer Linux-Maschine, um die Authentifizierung im Netzwerk zu ermöglichen.
−
=make a newrealm=
+
 
−
krb5_newrealm
+
= Voraussetzungen =
−
==hint==
+
* Eine Linux-Maschine mit statischer IP-Adresse und ordnungsgemäß konfiguriertem Hostnamen.
−
in a vrtualmachine you have to supply random data
+
* Die Systemzeit muss synchronisiert sein, was für Kerberos-Authentifizierungen wichtig ist.
−
like this in a second console 
+
 
−
cat /dev/sda > /dev/urandom
+
= Einstellungen =
 +
* DOMAIN: wok.lan
 +
* HOSTNAME: maria
 +
 
 +
= Systemeinstellungen =
 +
 
 +
== Hostname und Host-Konfiguration ==
 +
 
 +
=== Hostname setzen ===
 +
* echo "maria.wok.lan" > /etc/hostname
 +
 
 +
Stellt den Hostnamen auf "maria.wok.lan" ein.
 +
 
 +
=== Host-Einträge konfigurieren ===
 +
* echo -e "127.0.0.1\tlocalhost\n192.168.242.3\tmaria maria.wok.lan" >> /etc/hosts
 +
 
 +
Fügt die IP-Adresse und den Hostnamen in die "hosts"-Datei ein, damit das System lokale Anfragen korrekt auflösen kann.
 +
 
 +
=== DNS-Server konfigurieren ===
 +
* echo -e "nameserver 192.168.244.151\nsearch wok.lan" > /etc/resolv.conf
 +
 
 +
Trägt den DNS-Server ein und setzt die Suchdomäne auf "wok.lan".
 +
 
 +
= Systemzeit synchronisieren =
 +
Kerberos ist sehr zeitempfindlich. Die Uhrzeiten auf allen beteiligten Systemen müssen synchronisiert sein.
 +
 
 +
* apt-get update
 +
* apt-get install chrony
 +
* systemctl enable chrony
 +
* systemctl start chrony
 +
 
 +
Installiert und aktiviert "chrony" zur Zeitsynchronisation.
 +
 
 +
= Installation von Kerberos =
 +
 
 +
* apt-get install krb5-kdc krb5-admin-server
 +
 
 +
Installiert den Kerberos-Schlüsselverteilungscenter (KDC) und den Administrationsserver.
 +
 
 +
= Erstellen eines neuen Kerberos-Realms =
 +
 
 +
* krb5_newrealm
 +
 
 +
Erstellt eine neue Kerberos-Datenbank. Notiere den Namen des Hauptschlüssels (z. B. "K/M@WOK.LAN").
 +
 
 +
= Zerstören einer alten Kerberos-Datenbank (nur bei Bedarf) =
 +
Falls eine vorherige Konfiguration besteht und gelöscht werden muss:
 +
 
 +
* kdb5_util -r WOK.LAN -m destroy -f
 +
 
 +
= Überprüfung der Ports =
 +
* netstat -4 -lntpu | egrep "kadmind|krb5kdc"
 +
 
 +
Überprüft, ob die Kerberos-Dienste auf den richtigen Ports (88, 749, 464) lauschen.
 +
 
 +
= Kerberos-Administratorkonto erstellen =
 +
 
 +
* kadmin.local
 +
 
 +
Öffnet die lokale Kerberos-Administrationskonsole.
 +
 
 +
* addprinc kerberosadm/admin
 +
 
 +
Erstellt ein neues Administratorkonto für die Verwaltung des Kerberos-Systems.
 +
 
 +
= Benutzerkonto erstellen =
 +
 
 +
* kadmin.local
 +
* addprinc xinux
 +
 
 +
Erstellt ein neues Benutzerkonto mit dem Namen "xinux".
 +
 
 +
= Berechtigungen festlegen =
 +
 
 +
Bearbeite die Datei `/etc/krb5kdc/kadm5.acl` und füge Folgendes hinzu, um Administratorrechte zu vergeben:
 +
 
 +
*/admin *
 +
 
 +
= Neustart des Kerberos-Administrationsservers =
 +
 
 +
*service krb5-admin-server restart
 +
= Umgang mit Tickets =
 +
 
 +
Um ein Ticket für den gerade erstellten Benutzer zu erhalten:
 +
 
 +
*kinit kerberosadm/admin
 +
Gibt das Passwort ein und erhält ein Kerberos-Ticket.
 +
 
 +
*klist
 +
Zeigt die aktiven Kerberos-Tickets an.
 +
 
 +
*kdestroy
 +
Zerstört das aktuell aktive Kerberos-Ticket.
 +
 
 +
= Host-Principal erstellen =
 +
 
 +
*kadmin.local
 +
*addprinc -randkey host/maria.wok.lan
 +
Erstellt einen Host-Principal für den Server.
 +
 
 +
*ktadd -k /etc/krb5.keytab host/maria.wok.lan
 +
Speichert den Host-Principal im Keytab /etc/krb5.keytab.
 +
 
 +
= Links =
 +
 
 +
[http://wiki.ubuntuusers.de/Kerberos Kerberos-Konfiguration auf Ubuntu]
 +
[http://research.imb.uq.edu.au/~l.rathbone/ldap/kerberos.shtml Weitere Informationen zur Kerberos-Integration]
 +
 
 +
[[Kategorie:KERBEROS]]

Aktuelle Version vom 10. Oktober 2024, 20:14 Uhr

Ziel

Einrichten eines Kerberos-Servers auf einer Linux-Maschine, um die Authentifizierung im Netzwerk zu ermöglichen.

Voraussetzungen

  • Eine Linux-Maschine mit statischer IP-Adresse und ordnungsgemäß konfiguriertem Hostnamen.
  • Die Systemzeit muss synchronisiert sein, was für Kerberos-Authentifizierungen wichtig ist.

Einstellungen

  • DOMAIN: wok.lan
  • HOSTNAME: maria

Systemeinstellungen

Hostname und Host-Konfiguration

Hostname setzen

  • echo "maria.wok.lan" > /etc/hostname

Stellt den Hostnamen auf "maria.wok.lan" ein.

Host-Einträge konfigurieren

  • echo -e "127.0.0.1\tlocalhost\n192.168.242.3\tmaria maria.wok.lan" >> /etc/hosts

Fügt die IP-Adresse und den Hostnamen in die "hosts"-Datei ein, damit das System lokale Anfragen korrekt auflösen kann.

DNS-Server konfigurieren

  • echo -e "nameserver 192.168.244.151\nsearch wok.lan" > /etc/resolv.conf

Trägt den DNS-Server ein und setzt die Suchdomäne auf "wok.lan".

Systemzeit synchronisieren

Kerberos ist sehr zeitempfindlich. Die Uhrzeiten auf allen beteiligten Systemen müssen synchronisiert sein.

  • apt-get update
  • apt-get install chrony
  • systemctl enable chrony
  • systemctl start chrony

Installiert und aktiviert "chrony" zur Zeitsynchronisation.

Installation von Kerberos

  • apt-get install krb5-kdc krb5-admin-server

Installiert den Kerberos-Schlüsselverteilungscenter (KDC) und den Administrationsserver.

Erstellen eines neuen Kerberos-Realms

  • krb5_newrealm

Erstellt eine neue Kerberos-Datenbank. Notiere den Namen des Hauptschlüssels (z. B. "K/M@WOK.LAN").

Zerstören einer alten Kerberos-Datenbank (nur bei Bedarf)

Falls eine vorherige Konfiguration besteht und gelöscht werden muss:

  • kdb5_util -r WOK.LAN -m destroy -f

Überprüfung der Ports

  • netstat -4 -lntpu | egrep "kadmind|krb5kdc"

Überprüft, ob die Kerberos-Dienste auf den richtigen Ports (88, 749, 464) lauschen.

Kerberos-Administratorkonto erstellen

  • kadmin.local

Öffnet die lokale Kerberos-Administrationskonsole.

  • addprinc kerberosadm/admin

Erstellt ein neues Administratorkonto für die Verwaltung des Kerberos-Systems.

Benutzerkonto erstellen

  • kadmin.local
  • addprinc xinux

Erstellt ein neues Benutzerkonto mit dem Namen "xinux".

Berechtigungen festlegen

Bearbeite die Datei `/etc/krb5kdc/kadm5.acl` und füge Folgendes hinzu, um Administratorrechte zu vergeben:

  • /admin *

Neustart des Kerberos-Administrationsservers

  • service krb5-admin-server restart

Umgang mit Tickets

Um ein Ticket für den gerade erstellten Benutzer zu erhalten:

  • kinit kerberosadm/admin

Gibt das Passwort ein und erhält ein Kerberos-Ticket.

  • klist

Zeigt die aktiven Kerberos-Tickets an.

  • kdestroy

Zerstört das aktuell aktive Kerberos-Ticket.

Host-Principal erstellen

  • kadmin.local
  • addprinc -randkey host/maria.wok.lan

Erstellt einen Host-Principal für den Server.

  • ktadd -k /etc/krb5.keytab host/maria.wok.lan

Speichert den Host-Principal im Keytab /etc/krb5.keytab.

Links

Kerberos-Konfiguration auf Ubuntu Weitere Informationen zur Kerberos-Integration

Abgerufen von „http://wiki.ixheim.de/index.php?title=Kerberos_Server&oldid=57590“