Solaris 10实现安全Kerberos身份验证

来源：作者：出处：巧巧读书 2006-12-07 进入讨论组

清单 2. 配置遗留配置

[root@aixdce39 / ]# hostname
aixdce39.in.ibm.com

[root@aixdce39 / ]# /usr/krb5/sbin/config.krb5 -S -d in.ibm.com -r 
AIX_KDC

Initializing configuration...
Creating /etc/krb5/krb5_cfg_type...
Creating /etc/krb5/krb5.conf...
Creating /var/krb5/krb5kdc/kdc.conf...
Creating database files...
Initializing database '/var/krb5/krb5kdc/principal' for realm 'AIX_KDC'
master key name 'K/M@AIX_KDC'
You are prompted for the database Master Password.
It is important that you DO NOT FORGET this password.
Enter database Master Password:
Re-enter database Master Password to verify:
WARNING: no policy specified for admin/admin@AIX_KDC;
  defaulting to no policy. Note that policy may be overridden by
  ACL restrictions.
Enter password for principal "admin/admin@AIX_KDC":
Re-enter password for principal "admin/admin@AIX_KDC":
Principal "admin/admin@AIX_KDC" created.
Creating keytable...
Creating /var/krb5/krb5kdc/kadm5.acl...
Starting krb5kdc...
krb5kdc was started successfully.
Starting kadmind...
kadmind was started successfully.
The command completed successfully.

配置 Solaris 10 Kerberos 客户端

在 Solaris 10 中，该操作系统缺省情况下提供了 Kerberos 客户端，这是与以前版本的不同之处，以前的版本中附带了一个称为 SEAM 的单独的组件。要在 Solaris 10 中配置 Kerberos 客户端，至少需要创建一个合适的 /etc/krb5/krb5.conf 文件。清单 3 显示了 krb5.conf 文件的内容，我们将在 Solaris 10 计算机的 Kerberos 客户端使用这个文件。

我们建议管理员根据其需要创建 /etc/krb5/krb5.conf 文件。有关 Solaris 10 的 krb5.conf 的详细信息，请参见参考资料部分。

清单 3. Solaris 计算机中 krb5.conf 文件的内容

/> hostname
solsarpc2
/> cat /etc/krb5/krb5.conf
[libdefaults]
        default_realm = AIX_KDC
        default_keytab_name = FILE:/etc/krb5/krb5.keytab
        default_tkt_enctypes = des3-cbc-sha1
        default_tgs_enctypes = des3-cbc-sha1

[realms]
        AIX_KDC = {
                kdc = aixdce39.in.ibm.com:88
                admin_server = aixdce39.in.ibm.com:749
                default_domain = in.ibm.com
        }


[domain_realm]
        .in.ibm.com = AIX_KDC
        aixdce39.in.ibm.com = AIX_KDC

[logging]
        kdc = FILE:/var/krb5/log/krb5kdc.log
        admin_server = FILE:/var/krb5/log/kadmin.log
        default = FILE:/var/krb5/log/krb5lib.log

要为 Solaris 10 计算机配置 Kerberized 身份验证，您需要将用于这台 Solaris 计算机的 Kerberos 服务主体的类型设置为 host/<Solaris 计算机的主机名>（在本示例中为 host/solsarpc2.in.ibm.com），并将其放入 Solaris 计算机上的 keytab 文件中。请注意，keytab 文件的缺省位置是 /etc/krb5/krb5.keytab。

在 keytab 文件中创建服务主体条目的方法有很多种。清单 4 显示了其中一种方法，创建 Kerberos 服务主体，并使用承载 KDC 的 AIX 计算机中的 IBM NAS 提供的 kadmin 工具将其条目添加到 keytab 文件中。然后使用 FTP 将 keytab 文件从 AIX 计算机传输到合适的 Solaris 计算机。Kerberos 实用工具，如 ktutil，在需要的情况下也可以用来完成相同的任务。

正文：http://www.qqread.com/solaris/f286194.html