kerberos在redhat linux下的安装和配置

Hint：

    本文中所有命令之前的$符号为命令提示符，不是命令的一部分。

正文：

Kerberos是一个第三方鉴权机制，用户和用户希望得到的服务都依赖于Kerberos的服务器来实现对双方的鉴权。这个机制同时也支持在两者之间的数据传输进行加密。Kerberos的服务器叫做KDC（Key Distribution Center），有三个部分构成：

• 由用户和服务构成的数据库，存储着每个用户和服务的kerberos密码
• 一个鉴权服务器AS，进行初始鉴权和发放票据授权票据TGT（Ticket Granting Ticket）
• 一个票据授权服务器TGS（Ticket Granting Server），基于初始的TGT来处理接下来的服务票据。

服务票允许principal访问各种服务。Kerberos服务器控制的host，用户，服务的集合被称为域。 

安装和配置KDC

1.对于linux而言，KDC所在的机器被要求是最安全的。如果可能，KDC的机器上不要跑其他的服务。

2.由于我们使用的是redhat linux 4.1.x版本的操作系统，自身就带有kerberos。因此，只要选择其中一台安装server，其他的机器安装client就可以了。

3.安装kerberos server：

yum install krb5-server krb5-libs krb5-auth-dialog

4.安装kerberos client

yum install krb5-workstation krb5-libs krb5-auth
注意：linux官网上提示要安装krb5-pkinit-openssl软件包，但是我们的操作系统不需要安装该软件包，因为对安装结果无影响

5.配置KDC

（我们没有配置多KDC模式，只是配置了单KDC的模式）所以只要配置Master KDC server

a)编辑/etc/krb5.conf文件如下：

[logging]

 default = FILE:/var/log/krb5libs.log

 kdc = FILE:/var/log/krb5kdc.log

 admin_server = FILE:/var/log/kadmind.log

[libdefaults]

 default_realm = CLOUD.EB

 dns_lookup_realm = false

 dns_lookup_kdc = false

 ticket_lifetime = 24h

 forwardable = yes

 udp_preference_limit = 1

[realms]

 CLOUD.EB = {

  kdc = vbaby1.cloud.eb:88

  admin_server = vbaby1.cloud.eb:749

  default_domain = cloud.eb

 }

[domain_realm]

 .cloud.eb = CLOUD.EB

 cloud.eb = CLOUD.EB

[appdefaults]

 pam = {

   debug = false

   ticket_lifetime = 36000

   renew_lifetime = 36000

   forwardable = true

   krb4_convert = false

 }

注意：

这个文件可以用include和includedir引入其他文件或文件夹，但必须是绝对路径
realms:包含kerberos realm的名字（部分键控），显示关于realm的特殊信息，包括该realm内的主机要从哪里寻找kerberos的server。
domain realm：将domain名和子domain名映射到realm名上
必须填的有以下几项：

default-realm：在libdefault部分
admin_server：在realm部分
domain_realm：当domain名和realm名不同的时候要设置
logging：当该机器作为KDC时要设置

b)编辑/var/kerberos/krb5kdc/kdc.conf文件如下：

default_realm = CLOUD.EB

[kdcdefaults]

 v4_mode = nopreauth

 kdc_tcp_ports = 88

 kdc_ports = 0

[realms]

 CLOUD.EB = {

  #master_key_type = des3-hmac-sha1

  acl_file = /var/kerberos/krb5kdc/kadm5.acl

  dict_file = /usr/share/dict/words

  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab

  kdc_ports = 88

  database_name = /var/kerberos/krb5kdc/principal

  key_stash_file = /var/kerberos/krb5kdc/stash

  max_life = 10h 0m 0s

  max_renewable_life = 7d 0h 0m 0s

  master_key_type = des3-hmac-sha1

  default_principal_flags = +preauth

 }

注意：所有域名（realm名）必须为大写字母，所有主机名（DNS hostnames）和相应域名（domain names）为小写字母

c)创建数据库

$ kdb5_util create -s

注意：该命令创建了可以存放kerberos域的所有key的数据库，-s命令创建了一个stash文件，存放主服务器的key。如果没有这个key，那么每次kerberos server都会提示主服务器的用户输入密码。    

d）编辑/var/kerberos/krb5kdc/kadm5.acl 文件，内容如下：

*/[e-mail]  *   

注意：

最后一个星号之前有空格！！（一般是一个制表符）

所有名字为*/admin的用户都可以修改数据库，除了修改自己的密码之外其他修改数据库的命令都被允许执行，权限很大。

e）创建第一个用户：

执行以下命令：

$ kadmin.local -q "addprinc username/admin"

建议：

最好把username设为root，会提示输入密码，可以输入一个密码。在我们的集群中，左右admin用户的密码都是123456. （若密码错误，试试456789）

创建第一个principal，必须在KDC自身的终端上进行，而且需要以root登录，这样才可以执行kadmin.local命令。

f）启动kerberos，执行以下命令：

/sbin/service krb5kdc start

/sbin/service kadmin start

g）添加principal：

输入kadmin或者kadmin.local命令进入kerberos的shell，输入以下命令：

kadmin: addprinc  test/localhost

然后根据提示输入密码

之后从shell中退出，用root账号创建本地的一个用户test，从root用户su到这个账号，执行：

$ kinit test

$　klist

看见如下信息的时候，kerberos安装成功

Ticket cache: FILE:/tmp/krb5cc_505

Default principal: [e-mail]

Valid starting     Expires            Service principal

03/12/14 10:29:01  03/12/14 20:29:01  krbtgt/[e-mail]

        renew until 03/13/14 10:28:58

Kerberos 4 ticket cache: /tmp/tkt505

klist: You have no tickets cached

参考链接：

１.https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Managing_Smart_Cards/installing-kerberos.html

２.http://docs.hortonworks.com/HDPDocuments/HDP1/HDP-1.3.0/bk_installing_manually_book/content/rpm-chap14-1-4.html