Kerberosのソースを表示

[[Category:ネットワーク]]
[[Category:認証]]
[[en:Kerberos]]
{{Related articles start}}
{{Related|Active Directory Integration}}
{{Related articles end}}

[[Wikipedia:ja:ケルベロス認証|Kerberos]] はネットワーク認証システムです。詳しくは [https://web.mit.edu/kerberos/krb5-1.12/doc/admin/index.html krb5 のドキュメント] を見てください。

== インストール ==

クライアントとサーバーに {{Pkg|krb5}} パッケージを[[インストール]]します。

クライアントとサーバーの時計を同期させるために、[[時刻同期]]デーモンを使用することを'''強く'''お勧めします。

ホスト名解決が設定されていない場合、各マシンの {{man|5|hosts}} ファイルにクライアントとサーバを手動で追加することができます。FQDN (myclient.example.com) は hosts ファイル内の IP アドレスの後の最初のホスト名でなければならないことに注意してください。

== サーバー ==

{{hc|/etc/krb5.conf|<nowiki>
[libdefaults]
    default_realm = EXAMPLE.COM
    permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 camellia256-cts-cmac camellia128-cts-cmac

[realms]
    EXAMPLE.COM = {
        admin_server = kerberos.example.com
        supported_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 camellia256-cts-cmac camellia128-cts-cmac
    }

[domain_realm]
    example.com = EXAMPLE.COM
    .example.com = EXAMPLE.COM

[logging]
    kdc          = SYSLOG:NOTICE
    admin_server = SYSLOG:NOTICE
    default      = SYSLOG:NOTICE
</nowiki>}}

DNS レコードを追加:
{{hc|db.example.com|
kerberos           A   1.2.3.4
_kerberos          TXT "EXAMPLE.COM"
_kerberos._udp     SRV 0 0  88 kerberos.example.com.
_kerberos-adm._udp SRV 0 0 750 kerberos.example.com.
}}

逆引きを忘れないで下さい。

ファイアウォールを使用している場合 tcp と udp のポート 88 と 750 を使用許可するルールを追加してください。

データベースを作成:
 # krb5_util -r EXAMPLE.COM create -s

{{ic|krb5-kdc}} サービスを起動・有効化してください。

ケルベロス認証の代わりにローカルの root ユーザーを使って kadmin を起動:
{{hc|# kadmin.local|Authenticating as principal root/admin@EXAMPLE.COM with password.
kadmin.local:}}

=== 基本コマンド ===
プリンシパル (ユーザー) を追加:
{{hc|kadmin.local:  add_principal myuser@EXAMPLE.COM|<nowiki>
WARNING: no policy specified for myuser@EXAMPLE.COM; defaulting to no policy
Enter password for principal "myuser@EXAMPLE.COM": ***
Re-enter password for principal "myuser@EXAMPLE.COM": ***
Principal "myuser@EXAMPLE.COM" created.
</nowiki>}}

サービスプリンシパルを追加:
{{bc|kadmin.local:  add_principal -randkey nfs/someserver.example.com@EXAMPLE.COM}}

== SSH の認証 ==

[[SSH]] サーバーとクライアントの設定に以下の行を追加して、サーバーを再起動してください:
{{bc|GSSAPIAuthentication yes}}

サービスプリンシパルを生成:
{{bc|kadmin.local:  add_principal -randkey host/someserver.example.com@EXAMPLE.COM}}

サーバーのキータブを生成:
{{bc|kadmin.local:  ktadd -keytab /root/someserver.krb5.keytab}}
{{bc|<nowiki># scp kerberos.example.com:/root/someserver.krb5.keytab /etc/krb5.keytab
# chmod 600 /etc/krb5.keytab</nowiki>}}

SSH クライアント側でチケット発行許諾チケット (TGT) を取得:
{{hc|$ kinit myuser@EXAMPLE.COM|Password for myuser@EXAMPLE.COM: ***}}

テスト:
{{bc|$ ssh someserver.example.com -v}}