Kerberosのリモート管理

KDCコンソールを利用せずに、Kerberosデータベースからプリンシパルを追加、削除するには、Kerberos管理サーバにどのプリンシパルにどのような操作を許可するかを指示します。このような設定を行うには、/var/lib/kerberos/krb5kdc/kadm5.aclファイルを編集します。このACL(アクセス制御リスト)ファイルには、何にどのような操作を許可するかを細かく設定することができます。詳細については、man8 kadmindを実行して、表示されるマニュアルページを参照してください。

ここでは、データベースに対してすべての操作を行える権限を自分に与えるために、ファイルに次の行を追加します。

newbie/admin              *

ここで、ユーザ名newbieは、自分のユーザ名と置き換えてください。変更内容を有効にするには、kadmindを再起動してください。

kadminを使ったリモート管理

これで、kadminツールを使ってKerberosの管理作業をリモートで行えるようになりました。まず、管理者ロールのチケットを入手し、それを使ってkadminサーバに接続します。

kadmin -p newbie/admin
Authenticating as principal newbie/admin@EXAMPLE.COM with password.
Password for newbie/admin@EXAMPLE.COM:
kadmin:  getprivs
current privileges: GET ADD MODIFY DELETE
kadmin:

getprivsコマンドを使って、自分が持っているアクセス権限を確認します。前述の例では、すべてのアクセス権限を保有しています。

ここでは、例としてプリンシパルnewbieを変更します。

kadmin -p newbie/admin
Authenticating as principal newbie/admin@EXAMPLE.COM with password.
Password for newbie/admin@EXAMPLE.COM:

kadmin:  getprinc newbie
Principal: newbie@EXAMPLE.COM
Expiration date: [never]
Last password change: Wed Jan 12 17:28:46 CET 2005
Password expiration date: [none]
Maximum ticket life: 0 days 10:00:00
Maximum renewable life: 7 days 00:00:00
Last modified: Wed Jan 12 17:47:17 CET 2005 (admin/admin@EXAMPLE.COM)
Last successful authentication: [never]
Last failed authentication: [never]
Failed password attempts: 0
Number of keys: 2
Key: vno 1, Triple DES cbc mode with HMAC/sha1, no salt
Key: vno 1, DES cbc mode with CRC-32, no salt
Attributes:
Policy: [none]

kadmin:  modify_principal -maxlife "8 hours" newbie
Principal "newbie@EXAMPLE.COM" modified.
kadmin:  getprinc joe
Principal: newbie@EXAMPLE.COM
Expiration date: [never]
Last password change: Wed Jan 12 17:28:46 CET 2005
Password expiration date: [none]
Maximum ticket life: 0 days 08:00:00
Maximum renewable life: 7 days 00:00:00
Last modified: Wed Jan 12 17:59:49 CET 2005 (newbie/admin@EXAMPLE.COM)
Last successful authentication: [never]
Last failed authentication: [never]
Failed password attempts: 0
Number of keys: 2
Key: vno 1, Triple DES cbc mode with HMAC/sha1, no salt
Key: vno 1, DES cbc mode with CRC-32, no salt
Attributes:
Policy: [none]
kadmin:

この例では、チケットのライフタイムを最大8時間に変更しています。 kadminコマンドの詳細、および利用できるオプションについては、http://web.mit.edu/kerberos/www/krb5-1.4/krb5-1.4/doc/krb5-admin.html#Kadmin%20Optionsまたはman 8 kadminで表示されるマニュアルページを参照してください。