IBM Network Authentication Service KDC 配置，第 2 部分: 把从 KDC 升级为主 KDC

简介

本系列 的 第 1 部分 解释了如何使用遗留数据库设置和配置 IBM® Network Authentication Service (NAS) 主和从 KDC。在 IBM NAS 环境中设置主-从配置有助于确保 Kerberos 域的可靠性和可用性。下一步是了解如何把从 KDC 升级为主 KDC，以及为什么需要这么做。

在生产环境中，由于规模扩展的需要，常常用新系统替换主 KDC 系统。另外，承载主 KDC 的服务器可能需要维护或者出现间歇性硬件问题。由于这些原因和其他实际原因，有必要升级现有的从 KDC 来接管主 KDC 的责任。升级要求新的主 KDC 除了处理本身的常规 KDC 请求之外，还要管理只能由主 KDC 处理的任务。因此，把从 KDC 升级为主 KDC 是一个非常重要的活动，它会影响在 Kerberos 域上运行的所有使用 Kerberos 的应用程序的可靠性和可用性。

下面详细讨论使用遗留数据库把从 KDC 升级为主 KDC 的步骤。本文假设 Kerberos 域中按照本系列的 第 1 部分 的说明建立了使用遗留数据库的主-从配置。本文通过一个示例设置解释所需的步骤，以此帮助管理员制定迁移计划。

主 KDC 和从 KDC 之间的差异

在典型的生产环境中，Kerberos 设置总是采用主-从 KDC 配置。 在本节中，我们看看主 KDC 和从 KDC 之间的主要差异。

本系列的 第 1 部分 指出，在 Kerberos 域中只能有一个 主 KDC，但是可以有多个从 KDC。这些从 KDC 执行负载平衡并减轻主 KDC 的负担。

每个从 KDC 拥有 Kerberos 主体数据库的只读拷贝，而主 KDC 能够访问可修改的数据库主拷贝。主 KDC 负责以固定的时间间隔把更新后的数据库拷贝传播到每个从 KDC。

另外，Kerberos 管理服务器 (kadmind) 只在主 KDC 上运行。所以迁移过程还需要考虑这一点。