- 前言
- 服务端安装
- 组件安装
- 配置krb5.conf
- 配置kdc.conf
- 配置kadm5.acl
- 创建kdc数据库
- 在server端创建一个管理员账号,方便远程登录管理kerberos
- 正式启动kerberos server
- 服务端进阶配置
- 服务端高可用配置
- 服务端同LDAP集成配置
- 客户端安装
- 组件安装
- krb5.conf配置
- 日常运维
- kadmin和kadmin.local的区别
- kadmin
- 两种操作形态
- 直接使用kadmin的错误
- 登录认证kinit
- 已认证票据查询klist
- 登出票据销毁kdestroy
- 票据续期
- 生成keytab文件
- 一些注意事项
- max_life and max_renewable_life
- 参考资料
前言
下面的所有配置,都以centos为基础操作系统进行
服务端安装
组件安装
yum install krb5-libs krb5-server krb5-workstation
配置krb5.conf
默认路径为/etc/krb5.conf
该配置的主要配置了realm 对应的kdc的host,kadmin所在服务器,以及一些domain到realm的映射关系,以及日志存储文件等信息,一般分为如下四块:
-
logging 记录kerberos库、kdc、kadmin server对应的日志文件
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
```
-
libdefaults 整个kerberos组件相关的默认配置,如果不显示执行相关配置项,则默认这些值
[libdefaults] default_realm = TEST.COM dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true
-
realms 。其中配置了该realm中kdc、kadmin server对应的host地址
[realms] TEST.COM = { kdc = host1.mydomain.nl admin_server = host1.mydomain.nl }
-
domain_realm 配置域名或host映射的realm 。 由于kerberos本身是支持多realm的,这个配置可以用来将不同的host或domain映射到不同的realm
[domain_realm] .example.com = TEST.COM example.com = TEST.COM
上述几块组合起来就是完整的配置,总体demo如下
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
default_realm = TEST.COM
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
[realms]
TEST.COM = {
kdc = host1.mydomain.nl
admin_server = host1.mydomain.nl
}
[domain_realm]
.example.com = TEST.COM
example.com = TEST.COM
其中realm一般按惯例是所属公司的域名大写,这里做demo写的是TEST.COM ,实际配置需要替换成具体的公司域名
配置kdc.conf
默认路径为/var/kerberos/krb5kdc/kdc.conf
。kdc是整个Kerberos网络的核心,它存储了所有principal的账号数据,并对principal的请求,进行认证,与Principal之间的访问票据分发。
一个典型的kdc.conf配置如下
[kdcdefaults]
kdc_ports = 88
kdc_tcp_ports = 88
[realms]
TEST.COM = {
#master_key_type = aes256-cts
acl_file = /var/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
max_life = 24h 0m 0s
max_renewable_life = 7d 0h 0m 0s
}
kdcdefaults块配置了kdc服务监听的端口
realms 配置了该kdc管辖的realm的相关配置,具体为
- acl_file 配置具有管理员权限的访问控制列表kadm5.acl,具体释义,见下文
- dict_file 配置principal密码约束文件,dict_file 文件中一个字符串一行,这些字符串相当于黑名单,配置其中的字符串都不能用作密码。
- admin_keytab kdc的admin的免交互式认证文件存储地址
- supported_enctypes kerberos网络中,各组件通信时所能使用的加密协议
- max_life kdc分发的票据,最大有效期
- max_renewable_life 指定一个合法票据(注意是合法,如果一个票据已经失效,是不能够被续期的),在多长时间内可被续期。有些分布式组件,处理一个任务可能会耗很长时间,甚至大于一个票据的最大生命周期。max_renewable_life 就是指,一个票据被分发后的一段时间内,该票据可以被续期,从而使其不过期。续期的命令是
kinit -R
, hue就专门有一个续期的服务,定时去调用kinit -R
进行票据续期。一般max_renewable_life 默认值是0,也即不允许续期,所以记得要在kdc中配置该值,否则有些依赖Kerberos的服务会工作不正常,比如hue
配置kadm5.acl
默认路径/var/kerberos/krb5kdc/kadm5.acl
该文件相当于一个访问列表,其中配置了哪些Principal拥有管理kdc的数据库的名单。比如下属配置
*/[email protected] *
该配置表示名为TEST.COM的realm 中,为*/admin
的pricipal将拥有所有的权限,第一个星表示用户名通配符,vincent/admin或者tom/admin都能满足这个规则,第二个星表示拥有所有的权限
创建kdc数据库
kdb5_util create -s
该命令会创建一个kdc数据库,该数据库实际存放所有principal的账号。命令敲击后,会类似如下样子
Loading random data
Initializing database '/var/kerberos/krb5kdc/principal' for realm 'TEST.COM',
master key name 'K/[email protected]'
You will be prompted for the database Master Password.
It is important that you NOT FORGET this password.
Enter KDC database master key:
Re-enter KDC database master key to verify:
它会让用户属于一个密码,该密码是用来管理kdc数据库的,访问该数据的用户名为K/[email protected]
。kdc每次重启,都会要求输密码,以访问该数据库,为了跳过这个人工干预,所以这里加了-s
参数,表示将数据登录认证进行暂存,这样下次kdc可以直接启动
在server端创建一个管理员账号,方便远程登录管理kerberos
在server所在的机器上执行命令kadmin.local -q "addprinc tunde/admin"
,该命令会直接访问kdc的数据库,并在其中创建一个tunde/admin
的principal,该principal显然满足满足kadm5.acl访问控制列表的规范,可以作为kdc的管理员
正式启动kerberos server
$ service krb5kdc start #启动kdc
$ service kadmin start #启动kadmin server,该服务使得我们可以远程通过kadmin去管理kdc数据库中的Principal
$ chkconfig krb5kdc on
$ chkconfig kadmin on
服务端进阶配置
上述配置,已经完成了一个kerberos 服务的基本配置。下面来说一些进阶配置
服务端高可用配置
在两个机器上,分别启动kdc。 他们拥有独立的数据库,平时连其中一个,当挂掉后,启动另一个服务器上的kdc。两个kdc之间的数据库需要自己写脚本来复制。这种方式不是真正的高可用,且数据复制较为麻烦。
服务端同LDAP集成配置
https://web.mit.edu/kerberos/krb5-1.12/doc/admin/conf_files/kdc_conf.html#dbdefaults
上述配置中,kdc默认的数据库是在本地文件系统上的一个文件。可以将kerberos同LDAP整合,实现将用户的账户、甚至组织机构信息存储在ldap中,而不是本地的文件中。一个跟LDAP整合的样例配置如下:
[kdcdefaults]
kdc_ports = 88
[realms]
ATHENA.MIT.EDU = {
kadmind_port = 749
max_life = 12h 0m 0s
max_renewable_life = 7d 0h 0m 0s
master_key_type = aes256-cts-hmac-sha1-96
supported_enctypes = aes256-cts-hmac-sha1-96:normal aes128-cts-hmac-sha1-96:normal
database_module = openldap_ldapconf
}
[logging]
kdc = FILE:/usr/local/var/krb5kdc/kdc.log
admin_server = FILE:/usr/local/var/krb5kdc/kadmin.log
[dbdefaults]
ldap_kerberos_container_dn = cn=krbcontainer,dc=mit,dc=edu
[dbmodules]
openldap_ldapconf = {
db_library = kldap
disable_last_success = true
ldap_kdc_dn = "cn=krbadmin,dc=mit,dc=edu"
# this object needs to have read rights on
# the realm container and principal subtrees
ldap_kadmind_dn = "cn=krbadmin,dc=mit,dc=edu"
# this object needs to have read and write rights on
# the realm container and principal subtrees
ldap_service_password_file = /etc/kerberos/service.keyfile
ldap_servers = ldaps://kerberos.mit.edu
ldap_conns_per_server = 5
}
-
其中dbdefaults下的ldap_kerberos_container_dn 属性,指定的是整个kerberos管理的Principal所在ldap的父entry地址,它相当于一个容器,装在了所有的Principal账户,所以名字上有container字样体现
-
db_library = kldap 表示我们整合的数据库类型是LDAP
-
disable_last_success = true 用户登录的时候,默认会记录用户上次成功登录的时间。但记录这个是有性能开销的。所以可以通过这个选项,禁用掉 对成功登录信息的记录。当然禁用掉会影响管理员去排除登录问题,你都不知道用户上次成功登录时什么时候了。对应的文档地址:https://web.mit.edu/kerberos/krb5-1.14/doc/admin/lockout.html
-
ldap_kdc_dn 该属性配置 krb5kdc守护进程在ldap中的账号dn(dn也即我们普通理解的id),该节点需要拥有对ldap_kerberos_container_dn entry的读写权限
-
ldap_kadmind_dn 该属性配置 kadmind进程的账号dn,该节点需要拥有对ldap_kerberos_container_dn entry的读写权限
-
ldap_service_password_file kerberos本身的守护进程krb5kdc和kadmind在对ldap中的principal信息进行管理时,首先这些守护进程自己需要有权限登录到ldap。而使用交互方式输入密码显然不现实。所以需要将krb5kdc和kadmind对应的ldap密码信息放到一个文件里。该属性就是来配置这个密码认证文件的。kerberos提供了工具kdb5_ldap_util 来将对应的ldap账号,做成文件
kdb5_ldap_util stashsrvpw -f /home/andrew/conf_keyfile cn=service-kdc,o=org
这里
-f
指定将要用于存储密码的文件,后面紧跟的是对应的ldap dn。该命令会进入交互界面,让我们输入对应账号的密码,认证成功后,将在指定文件生成对应的认证记录。该工具的参考资料为:https://web.mit.edu/kerberos/www/krb5-latest/doc/admin/admin_commands/kdb5_ldap_util.html -
ldap_servers 配置LDAP的连接地址
-
ldap_conns_per_server 配置kerberos同LDAP服务器之间保有的连接数
客户端安装
组件安装
yum install krb5-workstation krb5-libs
与server不同的是,少了krb5-server组件的安装
krb5.conf配置
一般情况,client的该配置,同服务端一样,所以拷过来即可
日常运维
kadmin和kadmin.local的区别
kadmin 是通过访问kadmin server进程,来实现对Kdc中的principal进行管理
而kadmin.local是在kdc所在的服务器上,直接访问kdc的数据库,它不依赖kadmin server,只要kdc数据库创建后,即可进行操作。
除此之外,两者功能类似
kadmin
两种操作形态
直接使用kadmin时,kadmin相当一个命令行操作系统,一旦进入后,就可以在里面交互式的执行很多Principal管理命令。命令后面加了中文注释
[root]$ kadmin -p tunde/admin
Authenticating as principal tunde/admin with password.
Password for tunde/[email protected]:
#list principals -- see which users can get a kerberos ticket
kadmin: list_principals #列出现在kdc中拥有的principal列表
#add a new principal
kadmin: addprinc user1 #添加一个principal
WARNING: no policy specified for [email protected]; defaulting to no policy
Enter password for principal "[email protected]":
Re-enter password for principal "[email protected]":
Principal "[email protected]" created.
#delete principal
kadmin: delprinc user1 #删除一个principal
Are you sure you want to delete the principal "[email protected]"? (yes/no): yes
Principal "[email protected]" deleted.
Make sure that you have removed this principal from all ACLs before reusing.
#let's add the user1 principal back
kadmin: addprinc user1 #再次添加user1这个principal
WARNING: no policy specified for [email protected]; defaulting to no policy
Enter password for principal "[email protected]":
Re-enter password for principal "[email protected]":
Principal "[email protected]" created.
kadmin: exit #突出整个kadmin的交互session
值得注意的是,上述addprinc user1
,会以交互的方式让用户输入这个principal的密码。如果添加的Principal本身不给用户交互使用,而是直接以keytab文件方式做为认证文件。那么也可以在新建principal的时候加上-randkey
参数,表示给新建的用户随机生成一个密码。这样通过kadmin.local 生成keytab文件时,比如addprinc -randkey user1
再分发给到目的地就好。keytab的创建方式见下文。
当然,如果只是想直接直接执行一个命令,而不想进入上述的交互界面,也可以直接加参数-q
去执行后即退出,比如
kadmin -p tunde/admin -q "list_principals"
直接使用kadmin的错误
直接使用kadmin命令时,默认登录的principal是当前linux登录用户的加realm组合而来的。比如当前登录用户是ops。那么kadmin会试登录用户为ops/[email protected]
。很可能KDC数据库中,根本就没有这个Principal,所以会报如下错误
Authenticating as principal ops/[email protected] with password.
解决办法是对kadmin加-p
参数,显示指定实际存在的admin principal来进行登录, 如kadmin -p tunde/admin
登录认证kinit
在安有kerberos 客户端或服务器的机器上,直接使用kinit user1
命令,即可以交互的形式输入密码,去kdc认证登录。
已认证票据查询klist
登录成功后,可以使用klist -e
看下票据的有效期等信息
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: [email protected]
Valid starting Expires Service principal
02/03/14 02:32:42 02/04/14 02:32:42 krbtgt/[email protected]
renew until 02/03/14 02:32:42, Etype (skey, tkt): aes256-cts-hmac-sha1-96, aes256-cts-hmac-sha1-96
登出票据销毁kdestroy
就在登录的那台机器上使用kdestroy
命令,销毁认证的票据。然后使用klist
去看是否销毁成功,销毁成功后显示
klist: No credentials cache found (ticket cache FILE:/tmp/krb5cc_0)
票据续期
使用kinit -R
可以实现对已登录认证的票据进行续期,防止失效。hue有一个专门的 Ticket Renewal 实例来做这个事情
生成keytab文件
前面说过,通过kinit方式认证一个principal是需要用输入密码的方式进行交互。而如果两个互访的Principal本身就是两个机器,显然没办法以交互的方式进行认证。keytab文件就可以解决这个问题,它存储了多个principal及其对应的密码信息。
keytab文件的创建方式为,在kadmin命令行中使用ktadd
命令,命令的完整形式为ktadd -k keytab_file_path principal
。demo如下
kadmin: ktadd -k /tmp/foo-new-keytab host/foo.mit.edu
Entry for principal host/[email protected] with kvno 3,
encryption type aes256-cts-hmac-sha1-96 added to keytab
FILE:/tmp/foo-new-keytab
kadmin:
从keytab中移除对应的principal使用的命令为ktremove
,具体使用方式不再赘述
一些注意事项
max_life and max_renewable_life
前面说了max_life是设置票据的生存时长
max_renewable_life是设置票据可以被续期的时长,也即在指定的时间段内,票据可以被续期。当然续期后的票据长度还是max_life。
这两个属性跟principal是绑定的,所以如果配置这两个属性之前,已经创建了许多principal,那修改这两个属性重启kdc后,这两个属性依然不会生效。有两种方式来解决。
第一种,删除数据库后重做,数据库对应的文件,一般在/var/kerberos/krb5kdc
目录下
第二种,直接修改对应Principal的属性值,比如
$ kadmin: modprinc -maxlife 1days -maxrenewlife 7days +allow_renewable krbtgt/TEST.COM
$ kadmin: modprinc -maxlife 1days -maxrenewlife 7days +allow_renewable
参考资料
https://godatadriven.com/blog/kerberos-basics-and-installing-a-kdc/
https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/system-level_authentication_guide/configuring_a_kerberos_5_client