Kerberos 入门实战(2)Kerberos 安装及使用

Kerberos 的基本原理已在上文（Kerberos 入门实战(1)--Kerberos 基本原理）介绍过了，本文主要介绍 Kerberos 的安装及使用，文中使用到的软件版本：CentOS 7.6、Kerberos5 1.15.1。

1、规划

ip	主机名	用途
10.49.196.10	pxc1	Kerberos Server
10.49.196.11	pxc2	Kerberos Client
10.49.196.12	pxc3	Kerberos Client

三台机器上修改 /etc/hosts 文件：

10.49.196.10 pxc1
10.49.196.11 pxc2
10.49.196.12 pxc3

Kerberos Client 根据需要进行安装，安装后可以使用 kadmin 命令；对应在 Kerberos Server 上使用 kadmin.local 命令。

2、Kerberos Server 安装

在 10.49.196.10 上执行如下命令：

yum install krb5-server

2.1、配置 krb5.conf

根据需要修改 /etc/krb5.conf：

# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
 default_realm = ABC.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 ABC.COM = {
  kdc = 10.49.196.10
  admin_server = 10.49.196.10
 }

[domain_realm]
# .example.com = EXAMPLE.COM
# example.com = EXAMPLE.COM

2.2、配置 kdc.conf

根据需要修改 /var/kerberos/krb5kdc/kdc.conf：

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 ABC.COM = {
  #master_key_type = aes256-cts
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia12
8-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

2.3、配置 kdc.conf

根据需要修改 /var/kerberos/krb5kdc/kadm5.acl：

*/admin@ABC.COM *

Kerberos kadmind 使用该文件来管理对 Kerberos 数据库的访问权限。对于影响 principa 的操作，ACL 文件还控制哪些 principa 可以对哪些其他 principa 进行操作。文件格式如下：

principal  permissions  [target_principal  [restrictions] ]

ACL 文件中的行顺序很重要，会使用第一个匹配的行来设置用户权限。

2.4、创建 Kerberos 数据库

执行如下命令：

kdb5_util create -s -r ABC.COM

-s：表示生成 stash file，并在其中存储 master server key（krb5kdc）
-r：指定 realm name

Kerberos 数据库的目录为：/var/kerberos/krb5kdc，如果需要重建数据库，可删除改目录。

2.5、启停 Kerberos 服务

启动：

systemctl start krb5kdc
systemctl start kadmin

停止：

systemctl stop krb5kdc
systemctl stop kadmin

2.6、kadmin.local

Kerberos 服务机器上可以使用 kadmin.local 来执行各种管理的操作。进入 kadmin.local：

[root@pxc1 kerberos]# kadmin.local 
Authenticating as principal root/admin@ABC.COM with password.
kadmin.local:

常用操作：

操作	描述	例子
add_principal, addprinc, ank	增加 principal	add_principal -rnadkey test@ABC.COM
delete_principal, delprinc	删除 principal	delete_principal test@ABC.COM
modify_principal, modprinc	修改 principal	modify_principal test@ABC.COM
rename_principal, renprinc	重命名 principal	rename_principal test@ABC.COM test2@ABC.COM
get_principal, getprinc	获取 principal	get_principal test@ABC.COM
list_principals, listprincs, get_principals, getprincs	显示所有 principal	listprincs
ktadd, xst	导出条目到 keytab	xst -k /root/test.keytab test@ABC.COM

这里先创建一个 principal，方便 Kerberos Client 登录 kadmin：

kadmin.local:  add_principal root/admin@ABC.COM
WARNING: no policy specified for root/admin@ABC.COM; defaulting to no policy
Enter password for principal "root/admin@ABC.COM": 
Re-enter password for principal "root/admin@ABC.COM": 
Principal "root/admin@ABC.COM" created.
kadmin.local:

输入两次密码，创建成功。

3、Kerberos Client 安装

在 10.49.196.11、10.49.196.12 上执行如下命令：

yum install krb5-workstation

3.1、配置 krb5.conf

从 10.49.196.10 上拷贝 /etc/krb5.conf 并覆盖本地的 /etc/krb5.conf。

3.2、kadmin

Kerberos 客户端机器上可以使用 kadmin 来执行各种管理的操作。需先在 Kerbers Server 上创建登录的 principal，默认为 {当前用户}/admin@realm；

[root@pxc2 krb5]# kadmin 
Authenticating as principal root/admin@ABC.COM with password.
Password for root/admin@ABC.COM: 
kadmin:

输入密码，登录成功。kadmin 的操作和 kadmin.local 类似。

3.3、kinit(在客户端认证用户)

[root@pxc2 krb5]# kinit root/admin@ABC.COM
Password for root/admin@ABC.COM:

输入密码认证成功。

3.4、klist(查看当前的认证用户)

[root@pxc2 krb5]# klist
Ticket cache: KEYRING:persistent:0:0
Default principal: root/admin@ABC.COM

Valid starting       Expires              Service principal
2021-12-03T17:23:07  2021-12-04T17:23:07  krbtgt/ABC.COM@ABC.COM

3.5、kdestroy(删除当前的认证缓存)

[root@pxc2 krb5]# kdestroy

a	[Dis]allows the addition of principals or policies
c	[Dis]allows the changing of passwords for principals
d	[Dis]allows the deletion of principals or policies
e	[Dis]allows the extraction of principal keys
i	[Dis]allows inquiries about principals or policies
l	[Dis]allows the listing of all principals or policies
m	[Dis]allows the modification of principals or policies
p	[Dis]allows the propagation of the principal database (used in Incremental database propagation)
s	[Dis]allows the explicit setting of the key for a principal
x	Short for admcilsp. All privileges (except `e`)
*	Same as x.