Чтение онлайн

В одном файле

можно указать несколько областей. Для того чтобы сделать это, надо включить в раздел имена нескольких областей, а параметры, описывающие каждую из них, поместить в фигурные скобки.

Записи, содержащиеся в разделе

, отображают имена компьютеров и доменов в области Kerberos. За именем узла или домена (имя домена начинается с точки) следует знак равенства, после него указывается область Kerberos, к которой относится компьютер или домен. Из листинга 6.1 видно, что все компьютеры, принадлежащие домену (в том числе узел сети с именем ), попадают в область . Исключение составляет компьютер , который попадает в область .

Совет

При настройке DNS-сервера целесообразно создать записи CNAME, определив с их помощью имена узлов, указанные в

krb5.conf

и в других конфигурационных файлах. Это поможет вам быстро ввести в строй резервный KDC, расположенный на другом компьютере, не редактируя конфигурационные файлы. Кроме того, для обращения к KDC можно использовать виртуальный IP-адрес. В этом случае компьютер, поддерживающий протокол NAT (Network Address Translation — преобразование сетевых адресов), определяется на DNS-сервере как KDC, но при обращении к нему он перенаправляет запрос тому компьютеру, на котором размещается реальный KDC. Это также позволяет перемещать KDC с одного компьютера на другой, не изменяя записи DNS.

В файле

содержатся те же записи, что и в файле . Пример содержимого файла приведен в листинге 6.2. Информация об областях Kerberos помещается в раздел . Редактируя файл , необходимо обратить внимание на имя области, так как во многих конфигурационных файлах по умолчанию используется имя области . В разделе также содержатся записи, в которых указываются типы ключей, поддерживаемых в данной области. Эти записи можно изменять только в том случае, если вы ясно представляете себе последствия таких изменений. В разделе указаны дополнительные конфигурационные файлы.

Листинг 6.2. Пример файла

Для контроля доступа к Kerberos используется основной ключ (master key), который по сути представляет собой пароль и хранится в stash-файле. Stash-файл — это специальный файл, который читает сервер при запуске и определяет, разрешено ли его выполнение. Если stash-файл отсутствует, основной ключ необходимо вручную вводить при запуске сервера.

Поскольку stash-файл содержит чрезвычайно важную информацию, он должен храниться на том же диске, что и KDC, и быть доступным для чтения только пользователю

. Создавать резервную копию этого файла можно лишь в том случае, если носитель информации будет храниться в надежном месте. При выборе основного ключа следует руководствоваться теми же правилами, что и при выборе пароля: в качестве основного ключа нельзя использовать слово ни одного из существующих языков, его нельзя создавать на основе каких-либо данных, которые злоумышленник может узнать из официальных источников. В основном ключе должны присутствовать символы верхнего и нижнего регистра, цифры и знаки пунктуации. Ключ должен напоминать случайный набор символов и в то же время достаточно легко запоминаться. Основу ключа могут составлять начальные буквы слов некоторой фразы. Например, из фразы "yesterday I went to the dentist" формируется последовательность . Изменяя случайным образом регистр символов и добавляя цифры и знаки пунктуации, можно получить набор знаков , который вполне подходит для использования в качестве основного ключа.

Для создания основного ключа и записи его в stash-файл используется команда

.

На заметку

Из соображений безопасности символы, вводимые в ответ на приглашение, не отображаются на экране.

В процессе выполнения утилита

создает и инициализирует несколько файлов. Эти файлы помещаются в каталог либо в другой каталог, используемый системой Kerberos, например в . Ниже приведен перечень файлов, создаваемых с помощью утилиты .

• Stash-файл с именем

или .

• Файлы

и , содержащие базу данных Kerberos. (В некоторых системах файл называется .)

• Файлы

и , предназначенные для администрирования Kerberos.

Если вы по каким-то причинам не хотите создавать stash-файл, то, вызывая

, не надо указывать опцию -. В этом случае при каждом запуске сервера Kerberos придется задавать основной ключ.

Отредактировав конфигурационные файлы Kerberos и вызвав

для создания основного ключа и инициализации базы данных Kerberos, можно приступать к администрированию области. Этот процесс в основном сводится к определению принципалов. Для выполнения действий по добавлению принципалов необходимо обладать полномочиями администратора.

Информация о принципалах Kerberos хранится в формате ACL (Access Control Lists — списки контроля доступа) в файле, имя которого определяет запись

в составе . Этот файл содержит строки, представленные в следующем формате: