Kerberos LDAP 主-从配置管理

核心提示：概述KRB5LDAP 客户机从 KRB5LDAP 主服务器获取用户和组信息，如果 KRB5LDAP 主服务器因为不可用而不响应 KRB5LDAP 客户机，Kerberos LDAP 主-从配置管理，那么 Kerberos LDAP 客户机将向 KRB5LDAP 从服务器发送一个请求，以获取用户和组信息， 使用 LDAP

概述

KRB5LDAP 客户机从 KRB5LDAP 主服务器获取用户和组信息。如果 KRB5LDAP 主服务器因为不可用而不响应 KRB5LDAP 客户机，那么 Kerberos LDAP 客户机将向 KRB5LDAP 从服务器发送一个请求，以获取用户和组信息。

KRB5LDAP 客户机应用程序设计为在 KRB5LDAP 主服务器停机的情况下，尝试根据从服务器执行身份验证。因此在系统失败时，管理员不需要做额外工作就可以将 Kerberos 身份验证服务故障转移到备份服务器。不过 Kerberos 的管理特性不提供自动故障转移。

图 1. 图表

如果 Kerberos 主服务器发生故障，kadmind 守护进程将不可用。因此，在修复或替换主服务器之前，管理功能是不可用的。特别是主管理、关键创建和关键变更操作在 Kerberos 主服务器失败期间是不能执行的。

本文使用 IBM® Tivoli® 目录服务器（LDAP）作为数据库服务器，使用 IBM Network Authentication Services (NAS) 作为 Kerberos 验证服务器。

配置

LDAP 配置

LDAP 被设计为允许设置主/备份配置。首先，按照下面的说明配置 LDAP 主/备份服务器。

使用 AIX® mksecldap 命令配置 LDAP 服务器和客户机。这个命令自动将 LDAP 信息更新到所需的 LDAP 配置文件。参见 参考资料 小节获得关于配置 LDAP 主-备份拓扑结构的信息。

使用 LDAP 数据库（KRB5LDAP 主/从）配置 Kerberos 主/从服务器

下面的步骤在 ldap 数据库中定义这两个模式定义：

在 LDAP 主/备份服务器上添加 Kerberos 模式。NAS 在 /usr/krb5/ldif 目录中附带有一个 ldif 文件。使用 ldapmodify 命令将该模式导出到 LDAP 主/备份服务器。