Kerberos, PAM

Jan Provazník, xprovazn@fi.muni.cz

Obsah

• Kerberos - úvod
• Verze
• Terminologie
• Instalace, konfigurace (MIT verze)
• Sekundární servery (replikace)
• Nástroje
• Linux-PAM - úvod
• Linux-PAM - konfigurace
• Podpora PAMu v unixech
• Odkazy

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 ticket_lifetime = 24000
 default_realm = FI.MUNI.CZ
#ma se oblast pro pocitac urcovat z DNS TXT zaznamu
 dns_lookup_realm = false
#pokud neni v definici oblasti uveden KDC server, ma se urcit z DNS SRV
#zaznamu
 dns_lookup_kdc = false

[realms]
 FI.MUNI.CZ = {
  kdc = speo-alpha.fi.muni.cz:88
  kdc = speo-alpha-1.fi.muni.cz:88 #2 sekundarni servery
  kdc = speo-alpha-2.fi.muni.cz:88
  admin_server = speo-alpha.fi.muni.cz:749
  default_domain = fi.muni.cz
 }

[domain_realm]
#pokud zacina teckou, jde o jmeno domeny, jinak je to jmeno pocitace
 .fi.muni.cz = FI.MUNI.CZ
 fi.muni.cz = FI.MUNI.CZ

[kdc]
 profile = /var/kerberos/krb5kdc/kdc.conf

[appdefaults]
#hodnoty, ktere mohou byt pouzity kerberovskymi aplikacemi
 pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
 }

[kdcdefaults]
#cesta k access control list souboru - program kadmin z nej urcuje, 
#jaka prava maji jednotlivi uzivatele pri pristupu k databazi uzivatele
 acl_file = /var/kerberos/krb5kdc/kadm5.acl

#soubor obsahujici slova, ktera nemohou byt pouzita jako heslo - pokud
#nenastavim, zadna kontrola se neprovadi 
 dict_file = /usr/share/dict/words

#pouziva se programem kadmin pri pristupu k databazi
 admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab

#jak se ma KDC chovat vuci paketum z protokolu Kerberos IV
 v4_mode = nopreauth

[realms]
 FI.MUNI.CZ = {
  master_key_type = des-cbc-crc
  supported_enctypes = arcfour-hmac:normal arcfour-hmac:norealm arcfour-hmac:onlyrealm des3-hmac-sha1:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal des-cbc-crc:v4 des-cbc-crc:afs3
 }

*/admin@FI.MUNI.CZ  *

host/speo-alpha.fi.muni.cz@FI.MUNI.CZ      #primarni
host/speo-alpha-1.fi.muni.cz@FI.MUNI.CZ    #a dva seknudarni
host/speo-alpha-2.fi.muni.cz@FI.MUNI.CZ

auth    sufficient      pam_unix.so nullok
auth    sufficient      pam_krb5.so use_first_pass
auth    required        pam_deny.so