![如何配置多领域 Kerberos](https://linux22.com/image/779632/%E5%A6%82%E4%BD%95%E9%85%8D%E7%BD%AE%E5%A4%9A%E9%A2%86%E5%9F%9F%20Kerberos.png)
意图
我想要设置 2 个 Kerberos 领域,其中一个领域可以对另一个领域中的用户进行身份验证。
当前设置
我有 2 个 Kerberos 服务器(ad.somedomain.com
和kerb.foo.bar
)
我有我的用户kerb.foo.bar
用户 |
---|
用户1 |
爱丽丝 |
鲍勃 |
我可以,并且得到kinit [email protected]
[email protected]
[email protected]
目标当我……的时候klist
,
我想
我想使用AD.SOMEDOMAIN.COM
作为子领域或ad.somedomain.com
作为中间服务器。
我希望能够,或者让它授予票证并进行身份验证。kinit [email protected]
[email protected]
[email protected]
ad.somedomain.com ←→ kerb.foo.bar
↑
[email protected]
澄清
我不确定如何:
ad.somedomain.com
在和之间建立信任关系kerb.foo.bar
如何设置用户以允许我想要完成的事情
如何设置客户端
krb5.conf
以正确使用此设置。(选修的) 将其设置为“单向”信任有什么区别吗?
我不认为我需要这种关系反过来发生:
我有用户ad.somedomain.com
希望在其中进行身份验证kerb.foo.bar
我做了什么
我已经看过了MIT 关于 Kerberos 的文档但我肯定做错了什么。
这可能是我的krb5.conf
设置不正确,或者我的[capaths]
错了。
krb5.conf
[libdefaults]
forwardable = true
default_realm = KERB.FOO.BAR
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
KERB.FOO.BAR = {
kdc = kerb.foo.bar
admin_server = kerb.foo.bar
}
AD.SOMEDOMAIN.COM = {
kdc = ad.somedomain.com
admin_server = ad.somedomain.com
}
[domain_realm]
.ad.somedomain.com = AD.SOMEDOMAIN.COM
ad.somedomain.com = AD.SOMEDOMAIN.COM
.kerb.foo.bar = KERB.FOO.BAR
kerb.foo.bar = KERB.FOO.BAR
[capaths]
AD.SOMEDOMAIN.COM = {
KERB.FOO.BAR = .
}