| Dokumentation für SUSE Linux Kapitel 46. Installation und Administration von Kerberos / 46.7. Entfernte Kerberos-Administration | ||||
|---|---|---|---|---|
 | 46.6. Konfigurieren von Kerberos-Clients mit YaST | 46.8. Erstellen der Kerberos-Host-Prinzipals |  | |
| Dokumentation für SUSE Linux Kapitel 46. Installation und Administration von Kerberos / 46.7. Entfernte Kerberos-Administration | ||||
|---|---|---|---|---|
| 46.6. Konfigurieren von Kerberos-Clients mit YaST | 46.8. Erstellen der Kerberos-Host-Prinzipals | | |
Wenn Sie der Kerberos-Datenbank Prinzpale hinzufügen und entfernen möchten, ohne direkt auf die KDC-Konsole zuzugreifen, müssen Sie dem Kerberos-Administrationsserver mitteilen, welche Berechtigungen bestimmte Prinzipale haben. Bearbeiten Sie hierfür die Datei /var/lib/kerberos/krb5kdc/kadm5.acl. Die ACL (Zugriffskontrollliste)-Datei ermöglicht die Angabe von Berechtigungen mit einer guten Kontrolle. Weitere Informationen finden Sie auf der man-Seite mit man8 kadmind.
Gewähren Sie sich selbst die absolute Berechtigung für die Datenbank, indem Sie der Datei folgende Zeile hinzufügen:
newbie/admin *
Ersetzen Sie den Benutzernamen newbie durch Ihren eigenen. Starten Sie kadmind neu, damit die Änderung wirksam wird.
Jetzt sollten Sie Kerberos-Administrationsaufgaben von einem entfernten Standort mit dem kadmin-Werkzeug durchführen können. Zuerst müssen Sie ein Ticket für Ihre Administrationsrolle abholen und das Ticket bei der Verbindung mit dem kadmin-Server verwenden:
kadmin -p newbie/admin Authenticating as principal newbie/admin@EXAMPLE.COM with password. Password for newbie/admin@EXAMPLE.COM: kadmin: getprivs current privileges: GET ADD MODIFY DELETE kadmin:
Verwenden Sie den Befehl getprivs, um Ihre Berechtigungen zu überprüfen. Die obige Liste enthält alle Berechtigungen.
Als Beispiel, ändern Sie newbie:
kadmin -p newbie/admin Authenticating as principal newbie/admin@EXAMPLE.COM with password. Password for newbie/admin@EXAMPLE.COM: kadmin: getprinc newbie Principal: newbie@EXAMPLE.COM Expiration date: [never] Last password change: Wed Jan 12 17:28:46 CET 2005 Password expiration date: [none] Maximum ticket life: 0 days 10:00:00 Maximum renewable life: 7 days 00:00:00 Last modified: Wed Jan 12 17:47:17 CET 2005 (admin/admin@EXAMPLE.COM) Last successful authentication: [never] Last failed authentication: [never] Failed password attempts: 0 Number of keys: 2 Key: vno 1, Triple DES cbc mode with HMAC/sha1, no salt Key: vno 1, DES cbc mode with CRC-32, no salt Attributes: Policy: [none] kadmin: modify_principal -maxlife "8 hours" newbie Principal "newbie@EXAMPLE.COM" modified. kadmin: getprinc joe Principal: newbie@EXAMPLE.COM Expiration date: [never] Last password change: Wed Jan 12 17:28:46 CET 2005 Password expiration date: [none] Maximum ticket life: 0 days 08:00:00 Maximum renewable life: 7 days 00:00:00 Last modified: Wed Jan 12 17:59:49 CET 2005 (newbie/admin@EXAMPLE.COM) Last successful authentication: [never] Last failed authentication: [never] Failed password attempts: 0 Number of keys: 2 Key: vno 1, Triple DES cbc mode with HMAC/sha1, no salt Key: vno 1, DES cbc mode with CRC-32, no salt Attributes: Policy: [none] kadmin:
Dadurch wird die maximale Ticketlebensdauer auf acht Stunden geändert. Weitere Informationen zum Befehl kadmin und den verfügbaren Optionen finden Sie unter http://web.mit.edu/kerberos/www/krb5-1.4/krb5-1.4/doc/krb5-admin.html#Kadmin%20Options oder auf der man-Seite man8 kadmin.
