Kerberos 入门实战(2)-

Kerberos 入门实战(2)-

Kerberos 的基本原理已在上文(Kerberos 入门实战(1)--Kerberos 基本原理)介绍过了,本文主要介绍 Kerberos 的安装及使用,文中使用到的软件版本:CentOS 7.6、Kerberos5 1.15.1。

1、规划

ip 主机名 用途
10.49.196.10 pxc1 Kerberos Server
10.49.196.11 pxc2 Kerberos Client
10.49.196.12 pxc3 Kerberos Client

三台机器上修改 /etc/hosts 文件:

10.49.196.10 pxc1
10.49.196.11 pxc2
10.49.196.12 pxc3

Kerberos Client 根据需要进行安装,安装后可以使用 kadmin 命令;对应在 Kerberos Server 上使用 kadmin.local 命令。

2、Kerberos Server 安装

在 10.49.196.10 上执行如下命令:

yum install krb5-server

2.1、配置 krb5.conf

根据需要修改 /etc/krb5.conf:

# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
 default_realm = ABC.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 ABC.COM = {
  kdc = 10.49.196.10
  admin_server = 10.49.196.10
 }

[domain_realm]
# .example.com = EXAMPLE.COM
# example.com = EXAMPLE.COM

相关参数说明:

[logging]:日志的位置
[libdefaults]:每种连接的默认配置
  dns_lookup_realm:是否通过 dns 查找需使用的 releam
  ticket_lifetime:凭证的有效时限,一般为 24 小时
  renew_lifetime:凭证最长可以被延期的时限,一般为一周。当凭证过期之后,对安全认证的服务后续访问就会失败
  forwardable:ticket 是否可以被转发(如果用户已经有了一个TGT,当他登入到另一个远程系统,KDC会为他重新创建一个TGT,而不需要让用户重新进行身份认证)
  rdns:如果为 true,则除根据 hostname 正向查找外,同时反向查找对应的 principal。如果 dns_canonicalize_hostname 设置为 false,则此标志不起作用。默认值为 true。
  pkinit_anchors:受信任锚(根)证书的位置;如果用户在命令行上指定X509_anchors,则不使用该配置。
  default_realm:默认的 realm,必须跟要配置的 realm 名称一致
  default_ccache_name:指定默认凭据缓存的名称。默认值为 DEFCCNAME
[realms]:列举使用的 realm
  kdc:kdc 运行的机器
  admin_server:kdc 数据库管理服务运行的机器
[domain_realm]:配置 domain name 或 hostname 对应的 releam

详细说明可参考官网文档:http://web.mit.edu/kerberos/krb5-latest/doc/admin/conf_files/krb5_conf.html。

2.2、配置 kdc.conf

根据需要修改 /var/kerberos/krb5kdc/kdc.conf:

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 ABC.COM = {
  #master_key_type = aes256-cts
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia12
8-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

相关参数说明:

[kdcdefaults]:KDC 默认配置
kdc_ports:UDP 端口号
kdc_tcp_ports:TCP 端口号
[realms]:realm 数据库配置
master_key_type:主密钥的密钥类型;默认值为 aes256-cts-hmac-sha1-96。
acl_file:用于指定哪些用户可以访问 kdc 数据库的控制文件;如果不需要现在用户访问,该值可以设为空
dict_file:字典文件位置,该文件中的单词不能被用于密码;如果文件为空,或者没有为用户分配策略,则不会执行密码字典检查。
admin_keytab:KDC 进行校验的 keytab。
supported_enctypes:支持的加密方式,默认为 aes256-cts-hmac-sha1-96:normal aes128-cts-hmac-sha1-96:normal。

详细说明可参考官网文档:https://web.mit.edu/kerberos/krb5-latest/doc/admin/conf_files/kdc_conf.html。

2.3、配置 kdc.conf

根据需要修改 /var/kerberos/krb5kdc/kadm5.acl:

*/admin@ABC.COM *

Kerberos kadmind 使用该文件来管理对 Kerberos 数据库的访问权限。对于影响 principa 的操作,ACL 文件还控制哪些 principa 可以对哪些其他 principa 进行操作。文件格式如下:

principal  permissions  [target_principal  [restrictions] ]

ACL 文件中的行顺序很重要,会使用第一个匹配的行来设置用户权限。

相关参数说明:

principal:设置该 principal 的权限;principal 的每个部分都可以使用 *。
permissions: 权限,有如下一些权限:

a [Dis]allows the addition of principals or policies
c [Dis]allows the changing of passwords for principals
d [Dis]allows the deletion of principals or policies
e [Dis]allows the extraction of principal keys
i [Dis]allows inquiries about principals or policies
l [Dis]allows the listing of all principals or policies
m [Dis]allows the modification of principals or policies
p [Dis]allows the propagation of the principal database (used in Incremental database propagation)
s [Dis]allows the explicit setting of the key for a principal
x Short for admcilsp. All privileges (except e)
* Same as x.

target_principal:目标 principal,目标 principal 的每个部分都可以使用 *。
restrictions:针对权限的一些补充限制,如:限制创建的 principal 的票据最长时效。

 详细说明可参考官网文档:https://web.mit.edu/kerberos/krb5-latest/doc/admin/conf_files/kadm5_acl.html

2.4、创建 Kerberos 数据库

 执行如下命令:

kdb5_util create -s -r ABC.COM

-s:表示生成 stash file,并在其中存储 master server key(krb5kdc)
-r:指定 realm name

Kerberos 数据库的目录为:/var/kerberos/krb5kdc,如果需要重建数据库,可删除改目录。

2.5、启停 Kerberos 服务

启动:

systemctl start krb5kdc
systemctl start kadmin

停止:

systemctl stop krb5kdc
systemctl stop kadmin

2.6、kadmin.local

Kerberos 服务机器上可以使用 kadmin.local 来执行各种管理的操作。进入 kadmin.local:

[root@pxc1 kerberos]# kadmin.local 
Authenticating as principal root/admin@ABC.COM with password.
kadmin.local:  

常用操作:

操作 描述 例子
add_principal, addprinc, ank 增加 principal add_principal -rnadkey test@ABC.COM
delete_principal, delprinc 删除 principal delete_principal test@ABC.COM
modify_principal, modprinc 修改 principal modify_principal test@ABC.COM
rename_principal, renprinc 重命名 principal rename_principal test@ABC.COM test2@ABC.COM
get_principal, getprinc 获取 principal get_principal test@ABC.COM
list_principals, listprincs, get_principals, getprincs 显示所有 principal listprincs
ktadd, xst 导出条目到 keytab xst -k /root/test.keytab test@ABC.COM

这里先创建一个 principal,方便 Kerberos Client 登录 kadmin:

kadmin.local:  add_principal root/admin@ABC.COM
WARNING: no policy specified for root/admin@ABC.COM; defaulting to no policy
Enter password for principal "root/admin@ABC.COM": 
Re-enter password for principal "root/admin@ABC.COM": 
Principal "root/admin@ABC.COM" created.
kadmin.local:  

输入两次密码,创建成功。

3、Kerberos Client 安装

在 10.49.196.11、10.49.196.12 上执行如下命令:

yum install krb5-workstation

3.1、配置 krb5.conf

从 10.49.196.10 上拷贝 /etc/krb5.conf 并覆盖本地的 /etc/krb5.conf。

3.2、kadmin

Kerberos 客户端机器上可以使用 kadmin 来执行各种管理的操作。需先在 Kerbers Server 上创建登录的 principal,默认为 {当前用户}/admin@realm;

[root@pxc2 krb5]# kadmin 
Authenticating as principal root/admin@ABC.COM with password.
Password for root/admin@ABC.COM: 
kadmin:  

输入密码,登录成功。kadmin 的操作和 kadmin.local 类似。

3.3、kinit(在客户端认证用户)

[root@pxc2 krb5]# kinit root/admin@ABC.COM
Password for root/admin@ABC.COM:

输入密码认证成功。

3.4、klist(查看当前的认证用户)

[root@pxc2 krb5]# klist
Ticket cache: KEYRING:persistent:0:0
Default principal: root/admin@ABC.COM

Valid starting       Expires              Service principal
2021-12-03T17:23:07  2021-12-04T17:23:07  krbtgt/ABC.COM@ABC.COM

3.5、kdestroy(删除当前的认证缓存)

[root@pxc2 krb5]# kdestroy