在 AIX 上配置使用 LDAP 后端服务器的 IBM Network Authentication Service 主 KDC
2009-07-12 08:34:36 来源：WEB开发网 闂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲紒鎯у⒔閹虫捇鈥旈崘顏佸亾閿濆簼绨绘い鎺嬪灪閵囧嫰骞囬姣挎捇鏌熸笟鍨妞ゎ偅绮撳畷鍗炍旈埀顒勭嵁婵犲嫮纾介柛灞捐壘閳ь剛鎳撻～婵嬪Ω閳轰胶鐤呯紓浣割儐椤戞瑩宕ョ€ｎ喗鐓曟い鎰靛亝缁舵氨绱撻崘鈺傜婵﹤顭峰畷鎺戔枎閹搭厽袦婵犵數濮崑鎾绘⒑椤掆偓缁夌敻骞嗛悙鍝勭婵烇綆鍓欐俊鑲╃磼閹邦収娈滈柡灞糕偓鎰佸悑閹肩补鈧尙鏁栧┑鐐村灦閹稿摜绮旈悽绋课﹂柛鏇ㄥ灠閸愨偓濡炪倖鍔﹀鈧繛宀婁邯濮婅櫣绱掑Ο璇茶敿闂佺ǹ娴烽弫璇差嚕婵犳碍鏅插璺猴工瀹撳棝姊虹紒妯哄缂佷焦鎸冲畷鎴﹀箻鐠囧弶宓嶅銈嗘尰缁嬫垶绂嶉悙顒佸弿婵☆垳鍘ф禍楣冩倵濮樼偓瀚�
闂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲紒鎯у⒔閹虫捇鈥旈崘顏佸亾閿濆簼绨奸柟鐧哥秮閺岋綁顢橀悙鎼闂侀潧妫欑敮鎺楋綖濠靛鏅查柛娑卞墮椤ユ艾鈹戞幊閸婃鎱ㄩ悜钘夌；婵炴垟鎳為崶顒佸仺缂佸瀵ч悗顒勬⒑閻熸澘鈷旂紒顕呭灦瀹曟垿骞囬悧鍫㈠幍缂傚倷鐒﹂敋缂佹う鍥ㄧ厓鐟滄粓宕滈敃鍌氱煑闁告劦鐓堝ḿ鏍煕濠靛棗鐝旂憸鏂跨暦閹偊妲炬繛瀵稿Т閵堢ǹ顫忛搹瑙勫珰闁肩⒈鍓涢澶愭⒑閻撳海绉虹紒鐘崇墵楠炲啯銈ｉ崘鈺佲偓濠氭煢濡警妲奸柟鑺ユ礋濮婃椽妫冨☉杈€嗘繝纰樷偓铏枠鐎规洏鍨介幃浠嬪川婵炵偓瀚奸梺鑽ゅ枑閻熴儳鈧氨鍏樺畷顖濈疀濞戞瑧鍘遍梺缁樏壕顓熸櫠閻㈠憡鐓忛柛鈩冾殔閳ь剙婀辩紓鎾寸鐎ｎ亜绐涙繝鐢靛Т鐎氼剟鐛崼銉︹拺缁绢厼鎳庨ˉ宥夋煙濞茶绨芥俊鍙夊姍瀵挳鎮㈤崫鍕ㄥ彏闂傚倸鍊搁崐椋庢濮橆兗缂氱憸宥囧弲闂侀潧鐗嗗ú鐘诲磻閹炬剚娼╂い鎰╁灩缁侇噣姊虹紒妯圭繁闁革綇缍侀悰顕€骞掗幊铏閸┾偓妞ゆ帒鍊绘稉宥夋煥濠靛棙顥犵紒鈾€鍋撻梻鍌氬€搁悧濠勭矙閹达箑姹叉繛鍡楃贩閻熸壋鍫柛顐犲灮閺嗩偊姊洪崫鍕効缂傚秳鐒﹂幈銊╁焵椤掑嫭鐓冮柟顖滃绾偓绻濋埀顒佹綇閵娧呭骄闂佸搫娲ㄩ崰鎾跺姬閳ь剙鈹戦鏂や緵闁告﹢绠栧畷銏ゆ偨閸涘ň鎷虹紓鍌欑劍閿氬┑顕嗙畵閺屾盯骞橀弶鎴濇懙闂佽鍠楄摫婵炵厧绻樻俊鎼佸Χ閸モ晝鏆伴梻鍌欑濠€杈╁垝椤栨粍鏆滈柣鎰摠濞呯姵绻涢幋鐐寸殤缁炬崘鍋愮槐鎾存媴鐠愵垳绱板┑鐐村絻椤曨參鍩€椤掑喚娼愭繛鍙夌墪閻ｇ兘顢楅崘顏冪胺闂傚倷绀侀幉锟犲礉閺囥垹鐤柣妯款嚙缁€鍫熺節闂堟稓澧涚€规洖寮剁换娑㈠箣閻愩劎绱伴梺鍝勬濡鍩為幋锔藉亹閺夊牜鍋勯崢锟犳⒑鏉炴壆鍔嶉柣妤佺矌濡叉劙骞樼€涙ê顎撴繛瀵稿Т椤戝懘骞楅悽鍛娾拺闁革富鍘介崵鈧┑鐐茬湴閸婃繈骞冩ィ鍐╁€婚柦妯侯槺椤斿﹪姊虹憴鍕剹闁告ü绮欏畷鎾绘偨閸涘ň鎷洪梺鑽ゅ枑濠㈡﹢骞冩笟鈧弻锝夊箳閻愮數鏆ら梺璇″枟椤ㄥ﹪鐛弽銊﹀闁稿繐顦扮€氳棄鈹戦悙鑸靛涧缂佹彃娼″畷鏇㈠Χ婢跺﹤鎯為梺閫炲苯澧存慨濠冩そ楠炴牠鎮欏ù瀣壕闁哄稁鍘介崑瀣煟濡灝鍚圭€规挷绶氶悡顐﹀炊閵娧€濮囬梺鍝勬噺閹倿寮婚妸鈺傚亞闁稿本绋戦锟�
濠电姷鏁告慨鐑藉极閸涘﹥鍙忛柣鎴ｆ閺嬩線鏌涘☉姗堟敾闁告瑥绻橀弻锝夊箣閿濆棭妫勯梺鍝勵儎缁舵岸寮诲☉妯锋婵鐗婇弫楣冩⒑閸涘﹦鎳冪紒缁樺灴婵＄敻宕熼姘鳖啋闂佸憡顨堥崑鐔哥閼测晝纾藉ù锝呮惈椤庡矂鏌涢妸銉у煟鐎殿喛顕ч埥澶愬閻樼數鏉搁梻鍌氬€搁悧濠勭矙閹烘鍊堕柛顐犲劜閸婄敻鏌ｉ悢鍝勵暭闁哥喓鍋熺槐鎺旀嫚閹绘帗娈绘繝纰夌磿閺佽鐣烽悢纰辨晬婵﹢纭搁崯瀣⒑鐠囨煡鍙勬繛浣冲洤绠烘繝濠傜墛閸嬧晛鈹戦崒姘暈闁抽攱鍨归惀顏堫敇閻愭潙顎涘┑鐐插悑閸旀牜鎹㈠☉銏″殤妞ゆ巻鍋撻柡瀣閵囧嫰顢曢姀銏㈩唺缂備浇椴哥敮鎺曠亽闂佸吋绁撮弲婊堝吹瀹€鍕拻濞撴埃鍋撻柍褜鍓涢崑娑㈡嚐椤栨稒娅犳い鏃囧亹閺嗗棝鏌ㄥ┑鍡欏闁告柨鐏氶妵鍕晜閻ｅ苯寮ㄩ梺璇″櫙缁绘繃淇婇懜闈涚窞閻庯綆鍓欑敮楣冩⒒娴ｇǹ顥忛柛瀣噽閹广垽宕橀鑲╋紱濡炪倕绻愰幊鎰不閸撗€鍋撻悷鏉款棌闁哥姵娲滈懞杈ㄧ節濮橆剛鐣鹃梺缁樻煥閸氬鍩涢幋锔藉€甸柛锔诲幖鏍￠梺闈涙閸熸挳寮婚妶澶婄闁肩⒈鍓欓悡鐔兼倵鐟欏嫭绀冪紒璇茬墦瀵偊宕橀鑲╁姦濡炪倖甯掔€氀囧焵椤掍焦顥堢€规洘锕㈤、娆撳床婢诡垰娲﹂悡鏇㈡煃閳轰礁鏋ゆ繛鍫燂耿閺岋綁鎮㈢粙鍨潚濠殿喖锕ュ浠嬪箖閳╁啯鍎熼柍鈺佸暞閻︼綁姊绘担铏瑰笡闁绘娲熸俊鍓佺矙鐠恒劍娈鹃梺缁樺灦宀ｈ法寮ч埀顒勬⒑閹肩偛鍔€闁告劑鍔庨妶顕€姊婚崒娆戠獢婵炰匠鍕垫闊洦娲橀～鏇㈡煛閸ャ儱鐏╅柛灞诲妽閵囧嫯绠涢幘璺侯杸闂佹娊鏀遍崹鍧楀蓟閻斿吋鍤冮柍杞版缁爼姊洪崨濠冣拹妞ゃ劌锕濠氭晸閻樻彃绐涘銈嗘閺侇喗鎱ㄩ崶鈺冪＝濞达絿枪閳ь剙婀遍弫顕€鎮㈡俊鎾虫川閳ь剟娼ч幗婊呭婵傜ǹ绾ч柛顐ｇ☉婵¤偐绱掑Δ浣侯暡缂佺粯鐩幃鈩冩償閿濆浂鍟嬮梻浣虹《閺備線宕滃┑瀣闁告稑鐡ㄩ悡銉╂倵閿濆懐浠涚紓宥嗩殜濮婂宕掑顑藉亾瀹勬噴褰掑炊瑜滃ù鏍煏婵炵偓娅嗛柛濠傛健閺屻劑寮撮悙娴嬪亾閸濄儳涓嶉柡灞诲劜閻撴洟鏌曟径妯烘灈濠⒀屽櫍閺岋紕鈧絺鏅濈粣鏃堟煛瀹€鈧崰鏍х暦濠婂棭妲鹃柣銏╁灡閻╊垶寮婚敓鐘插窛妞ゆ棁妫勯埀顒佸姍閺岋紕浠︾拠鎻掝潎闂佽鍠撻崐婵嗙暦閹烘垟妲堟慨妤€妫旂槐锟�闂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲紒鎯у⒔閹虫捇鈥旈崘顏佸亾閿濆簼绨绘い鎺嬪灪閵囧嫰骞囬姣挎捇鏌熸笟鍨妞ゎ偅绮撳畷鍗炍旈埀顒勭嵁婵犲嫮纾介柛灞捐壘閳ь剛鎳撻～婵嬪Ω閳轰胶鐤呯紓浣割儐椤戞瑩宕ョ€ｎ喗鐓曟い鎰靛亝缁舵氨绱撻崘鈺傜婵﹤顭峰畷鎺戔枎閹搭厽袦婵犵數濮崑鎾绘⒑椤掆偓缁夌敻骞嗛悙鍝勭婵烇綆鍓欐俊鑲╃磼閹邦収娈滈柡灞糕偓鎰佸悑閹肩补鈧尙鏁栧┑鐐村灦閹稿摜绮旈悽绋课﹂柛鏇ㄥ灠閸愨偓濡炪倖鍔﹀鈧繛宀婁邯濮婅櫣绱掑Ο璇茶敿闂佺ǹ娴烽弫璇差嚕婵犳碍鏅插璺猴工瀹撳棝姊虹紒妯哄缂佷焦鎸冲畷鎴﹀箻鐠囧弶宓嶅銈嗘尰缁嬫垶绂嶉悙顒佸弿婵☆垳鍘ф禍楣冩倵濮樼偓瀚� 闂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲紒鐐劤缂嶅﹪寮婚敐澶婄闁挎繂鎲涢幘缁樼厱闁靛牆鎳庨顓㈡煛鐏炶鈧繂鐣烽锕€唯闁挎棁濮ら惁搴♀攽閻愬樊鍤熷┑顕€娼ч～婵嬪Ω瑜庨～鏇㈡煙閹规劦鍤欑痪鎯у悑缁绘盯宕卞Ο铏圭懆闂佸憡锕槐鏇犳閹惧鐟归柛銉戝嫮褰梻浣规偠閸斿矂鎮ラ崗闂寸箚闁圭虎鍠栫粈鍐┿亜閺冨倸甯剁紒鎰洴濮婃椽宕崟鍨ч梺鎼炲妼缂嶅﹤鐣烽姀鐘嗘椽顢旈崨顓涘亾閸偒娈介柣鎰皺娴犮垽鏌涢弮鈧喊宥夊Φ閸曨垱鏅滈悹鍥皺娴犳悂鎮楃憴鍕┛缂佺粯绻堥悰顔芥償閵婏箑娈熼梺闈涳紡閸愩劌顩梻鍌氬€搁オ鎾磻閸曨個娲晝閳ь剛鍙呴梺鍝勭Р閸斿孩鏅堕敓鐘斥拻闁稿本鐟︾粊鐗堛亜閺囧棗鎳夐崑鎾诲垂椤愩垺璇為悗瑙勬礃缁捇骞冮姀锛勯檮濠㈣泛顑囩粙渚€姊绘担鐟板姢缂佺粯鍔曢敃銏℃綇閳轰緡妫滈梺绋跨箻濡法鎹㈤崱妯镐簻闁哄秲鍔庨。鏌ユ煙椤栨氨澧涢柕鍥у椤㈡洟濮€閵忋垹濮辨繝娈垮枛閿曘儱顪冮挊澶屾殾闁绘垹鐡旈弫鍥ㄧ箾閹寸偟鎳冮柣婵嬩憾濮婄粯鎷呴崨闈涚秺椤㈡牠宕ㄩ鍥ㄧ☉閳规垹鈧綆浜為悾楣冩⒑闁偛鑻晶顖炴煏閸パ冾伂缂佺姵鐩獮妯尖偓鍨偠閸嬫劖绻濈喊妯活潑闁搞劍澹嗛埀顒佺濠㈡﹢锝炶箛鎾佹椽顢旈崟顏嗙倞闂備礁鎲″ú锕傚礈濮樿泛绠柛妤冨亹閺€浠嬫煟閹邦厼绲荤紒鐙欏啰鏆嗛柨婵嗘噺閸嬨儲顨ラ悙鏉戠伌濠殿喒鍋撻梺缁橈供閸嬪懘寮埀顒€鈹戦悩鍨毄濠殿喖顕埀顒佸嚬閸ｏ絽顕ｉ崼鏇炵濞达絽鍘滈幏娲⒑閸涘﹦绠撻悗姘煎幖椤斿繐鈹戦崱蹇旀杸濡炪倖姊归崕鎶藉储閹绢喗鐓欐い鏃囶嚙瀹撳棗鈹戦敍鍕幋闁糕晪绻濆畷鎺懳旀担鍓蹭紲濠电姷鏁搁崑鐘诲箵椤忓棗绶ゅù鐘差儏缁犺銇勯幇鈺佲偓鏍汲濠婂牊鍋ｉ弶鐐村椤掔喖鏌ｉ弬鎸庮棦闁哄矉缍侀幃銏犵暋閹殿喚娉块梻浣姐€€閸嬫捇鏌ゆ慨鎰偓妤冨婵傚憡鐓曢悘鐐靛亾閻ㄦ垹鈧稒绻傝灃婵°倕锕ｇ花鐑芥煕濡も偓閸熷潡鎮鹃悜鑺ュ亗閹兼惌鍠楅崓鐢告⒑閹稿海绠撻柟鍐茬У缁旂喖寮撮姀鈾€鎷洪梺鍛婄箓鐎氼剟寮冲▎鎾寸厽婵°倐鍋撴俊顐ｇ〒閸掓帡宕奸妷銉ь槰闂佸磭鎳撻妵妯艰姳婵犳碍顥婃い鎰╁灪閹兼劖绻涚€电ǹ鍘撮挊婵嬫煥閺囨浜鹃梻鍥ь槹缁绘繃绻濋崒婊冣叡闂佷紮绲惧浠嬪蓟閿涘嫪娌悹鍥ㄥ絻椤牓姊虹€圭媭娼愰柛銊ョ仢閻ｇ兘宕￠悙鈺傤潔闂佺懓鍚€缁€浣圭閻愵兛绻嗛柕鍫濆€告禍鎯ь渻閵堝骸寮ㄩ柛搴☆煼绡撳〒姘ｅ亾闁哄本鐩幃鈺佺暦閸パ€鎷版繝鐢靛Л閸嬫挸銆掑锝呬壕濠殿喖锕ㄥ▍锝囨閹烘嚦鐔煎即閻旈浼岄梺璇″枤閸忔ɑ淇婇悿顖ｆХ闂佺ǹ顑嗛幐鎼侊綖濠靛鍋傞幖娣灮娴滃墽绱撻崒娆戣窗闁哥姵姘ㄩ崚鎺楊敍閻愬弬褔鏌ㄥ┑鍡╂Ц缂佲偓閸愵喗鐓冮柛婵嗗閺嗘瑦顨ラ悙鑼濞ｅ洤锕幃娆擃敂閸曘劌浜鹃柡宥庡幖缁€澶愭煙鏉堝墽鐣辩痪鎯х秺閺岋繝宕堕妷銉т患闂佸憡鍨规繛鈧鐐寸墪鑿愭い鎺嗗亾濠碘€茬矙閺岋綁骞樼捄鐑樼亪闂佺粯鎼╅崑濠傜暦閹偊妾ㄩ梺绋块缁绘﹢寮诲☉銏犵睄闁逞屽墰閸掓帡骞樼拠鑼舵憰闂佸搫娲㈤崹褰掓倷婵犲嫭鍠愮€广儱顦介弫鍌涖亜閹捐泛袥闁稿鎸搁埢鎾诲垂椤旂晫浜舵繝鐢靛仜閸氬鎮烽妸鈺傚€堕柟鐑橆殕閳锋垿鏌涘☉姗堝姛缂佺姵鎹囬幃妤€顫濋悡搴♀拤濡炪們鍊曢崐鍦崲濠靛牆鏋堝璺虹灱閿涚喖姊虹粙娆惧剱闁搞劌鐏濋悾鐑藉箛閺夎法顓洪梺鎸庢磵閸嬫捇鏌涢妸銉モ偓鍦崲濞戞﹩鍟呮い鏃囧吹閸戝綊姊虹粙娆惧劀缂佺粯绻堝璇差吋婢跺﹣绱堕梺鍛婃处閸撴瑥鈻嶉敐鍥╃＝濞达絽鎼牎闂佺粯顨堟繛鈧€殿喛顕ч鍏煎緞婵犲嫬骞愬┑鐐舵彧缁蹭粙骞夐垾鏂ユ灁闁哄被鍎查埛鎴犵磼鐎ｎ偄顕滈柟鐧哥秮閺屾盯鎮╁畷鍥р拰閻庢鍠栭…宄邦嚕閹绢喖顫呴柣姗€娼ч埀顒傚仱閹嘲饪伴崘顎倝鏌ゆウ鍧楀摵缂佺粯绻傞～婵嬵敇閻樻彃绠ラ梻鍌欑閹诧繝宕归鐐茬９闁哄稁鍋€閸嬫挸顫濋悙顒€顏�
简介
在 Kerberos 环境中，Key Distribution Center (KDC) 起着关键作用。它根据用户的凭证决定是否应该允许用户使用某个服务（比如 FTP）。Kerberos 用户信息存储在一个数据库中（在遗留的配置中常常是文件系统中的文件）。KDC 通过引用这个 Kerberos 数据库检查用户，然后授予凭证。遗留的 Kerberos 数据库的主要问题在于，数据库存储在运行 KDC 的系统本地（尽管它是加密的）。在发生故障时，这会造成单一故障点，风险很大。因此，有必要寻找存储 Kerberos 数据的其他方法，从而尽可能降低风险。
由于 Kerberos 数据具有层次化结构，LDAP 目录非常适合存储 Kerberos 数据。在 LDAP 目录中很容易存储和管理 Kerberos 信息。LDAP 目录还对访问数据的方式提供更好的控制。这使 Kerberos 管理员能够轻松地在 LDAP 中存储机密信息（Kerberos 用户名和密码、主密钥等等）。另外，LDAP 目录还能够提高 Kerberos 环境的可伸缩性，让管理员能够把 KDC 放在网络上的任何地方。
本文讨论如何通过配置 IBM NAS 主 KDC 和管理服务器 (kadmind) 使用 LDAP 目录插件存储 IBM NAS 身份验证数据。请注意，IBM NAS 还有另一个特性，可以使用 LDAP 目录配置 KDC 和管理服务器发现。这是一个完全不同的特性，更多信息参见文章 “IBM Network Authentication Service KDC and administration servers discovery using LDAP for AIX”（见 参考资料）。
另外，还有一个分为三部分的系列讨论使用 IBM NAS 的从 KDC 配置。其中一个部分讨论如何把从 KDC 配置为使用 LDAP 作为后端服务器，见 参考资料。
如何让 Kerberos 使用 LDAP 目录？
在 Kerberos 中，最重要的信息是主体（Kerberos 用户）和策略信息。这些信息包括 Kerberos 主体密码、各种主体属性、主密钥信息（主密钥或主密钥文件位置）和 Kerberos 策略属性等等。Kerberos KDC 使用 LDAP 中存储的主体信息对用户进行身份验证。除了主体信息之外，Kerberos 策略信息也存储在 LDAP 目录中。
另外，AIX 支持在 LDAP 目录中存储常用的用户信息以及相关的 Kerberos 和 LDAP 属性。在使用 AIX 系统的集成登录时，访问这些额外的信息。因此，在 AIX 上，IBM NAS KDC 和 LDAP 目录的组合提供的不仅仅是安全性。
下图说明如何结合使用 IBM NAS KDC 和 LDAP 目录服务器，并显示这种配置中使用的重要的 IBM NAS 配置文件。
图 1. 使用 LDAP 目录插件的 IBM NAS KDC
因为 LDAP 存储敏感的 Kerberos 信息，而且 KDC 常常要访问 LDAP 目录，所以建议保护 KDC 和 LDAP 服务器之间的通信。一般情况下，需要使用 SSL (Secure Socket Layer)。为 IBM NAS KDC 和 LDAP 配置 SSL 超出了本文的范围。
现在配置使用 LDAP 目录的 IBM NAS KDC。
配置使用 LDAP 后端服务器的 IBM NAS 主 KDC
对于 AIX 上的 Kerberos 配置，使用 IBM NAS version 1.4.0.8。可以在 AIX expansion pack CD 上找到它，也可以从 AIX Web pack 下载页面下载。对于 LDAP 服务器，使用 IBM Tivoli® Directory Server (ITDS) version 6.1。下载链接见 参考资料。
在开始实际配置之前，一定要正确地安装和配置 LDAP 服务器。关于如何安装和配置 LDAP 服务器，请参考 LDAP 文档。还要安装 IBM NAS。
详细的配置步骤如下：
添加后缀：
首先，在 LDAP 服务器中添加一个新的后缀来存储 Kerberos 信息。可以认为这个后缀是存储 Kerberos 数据的树的根。典型的后缀像 ou=india,o=ibm,c=in 这样。在 LDAP 目录中添加这个后缀：
如果 LDAP 目录服务器正在运行的话，停止它。 # /opt/IBM/ldap/V6.1/bin/ibmdirctl -D cn=root -w secret stop
ibmslapd server is stopped
#
添加后缀。
添加后缀 ou=india,o=ibm,c=in：
# /opt/IBM/ldap/V6.1/sbin/idscfgsuf -I idsldap -s "ou=india,o=ibm,c=in" -n
You have chosen to perform the following actions:
GLPCSF007I Suffix 'ou=india,o=ibm,c=in' will be added to the configuration
file of the directory server instance 'idsldap'.
GLPCSF004I Adding suffix: 'ou=india,o=ibm,c=in'.
GLPCSF005I Added suffix: 'ou=india,o=ibm,c=in'.
#
启动 LDAP 目录服务器。 # /opt/IBM/ldap/V6.1/bin/ibmdirctl -D cn=root -w secret start
Start operation succeeded
#
确定已经正确地添加了后缀。
使用 ldapsearch 搜索刚才添加的后缀。
# /opt/IBM/ldap/V6.1/bin/ldapsearch -b "" -s base "objectclass=*" namingcontexts
namingcontexts=CN=SCHEMA
namingcontexts=CN=LOCALHOST
namingcontexts=CN=IBMPOLICIES
namingcontexts=OU=INDIA,O=IBM,C=IN
#
这意味着已经成功地添加了后缀。
添加 Kerberos 模式：
添加后缀之后，添加保存 Kerberos 数据所需的模式定义。IBM NAS 在 /usr/krb5/ldif 目录中提供用于 LDAP 目录的 LDIF (LDAP Data Interchange Format) 格式的 Kerberos 模式。IBM LDAP 目录服务器的 Kerberos 模式在 /usr/krb5/ldif/IBM.KRB.schema.ldif 文件中。按以下方法添加模式信息：
# idsldapmodify -h playstation.in.ibm.com -D cn=root -w secret
-f /usr/krb5/ldif/IBM.KRB.schema.ldif -c -v
ldap_init(playstation.in.ibm.com, 389)
add attributetypes:
BINARY (85 bytes) ( 1.2.840.113556.1.4.49 NAME 'badPasswordTime'
SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 )
add ibmattributetypes:
BINARY (67 bytes) ( 1.2.840.113556.1.4.49 DBNAME( 'badPwdTime'
'badPasswordTime' ) )
Operation 0 modifying entry cn=schema
replace attributetypes:
BINARY (727 bytes) ( 1.2.840.113556.1.4.49 NAME 'badPasswordTime'
DESC 'A value indicating the last time the user tried to log onto
the account using an incorrect password. The value is stored as
a large integer that represents the number of seconds elapsed since
00:00:00, January 1, 1970. A value of zero (0) means the last
password time is unknown. Each KDC server in the realm maintains
its own badPasswordTime attribute. To get an accurate value for the
users last bad password time in the realm, the badPasswordTime
attribute of each KDC server must be queried, and the largest value
should be used. Defined in Active Directory;
OID is 1.2.840.113556.1.4.49'
SYNTAX 1.3.6.1.4.1.1466.115.121.1.27{11}
SINGLE-VALUE USAGE userApplications )
replace ibmattributetypes:
BINARY (97 bytes) ( 1.2.840.113556.1.4.49 DBNAME( 'badPwdTime'
'badPasswordTime' ) ACCESS-CLASS normal LENGTH 11 )
Operation 1 modifying entry cn=schema
.....
.....
.....
add objectclasses:
BINARY (50 bytes) ( 1.3.18.0.2.6.263 NAME 'krbRealm-V2' STRUCTURAL )
Operation 143 modifying entry cn=schema
ldap_modify: Type or value exists
ldap_modify: additional info: GLPSCH048I Schema item of type 'objectClasses' and name
'krbRealm-V2' already exists with the specified OID: '1.3.18.0.2.6.263'.
replace objectclasses:
BINARY (146 bytes) ( 1.3.18.0.2.6.263 NAME 'krbRealm-V2'
DESC 'Represents a Kerberos security realm.'
SUP top STRUCTURAL MUST ( krbPrincSubtree $ krbRealmName-V2 ) )
Operation 144 modifying entry cn=schema
#
添加 Kerberos 领域信息：
接下来，在 LDAP 目录服务器中添加 Kerberos 领域信息。这需要编辑 /usr/krb5/ldif/realm_add.ldif 文件，根据您的领域设置调整相关的条目。在下面的代码清单中，修改的地方突出显示：
# cat realm_add.ldif.changed
...
...
# The suffix "ou=, o=, c=" should be defined before attempting to
# load this data. Or change the suffix to be an already defined object.
# Change all references of ISL.IN.IBM.COM to be your realm name.
#
# Leaving krbMaxFailAuth set to 0 will disable Principal Lockout as well as
# preventing the Disable Time Interval from having any affect. Refer to the
# documentation for appropriate values to enable Principal Lockout.
dn: ou=INDIA, o=IBM, c=IN
ou: INDIA
objectclass: organizationalUnit
dn: krbrealmName-V2=ISL.IN.IBM.COM, ou=INDIA, o=IBM, c=IN
objectclass: KrbRealm-V2
objectclass: KrbRealmExt
krbrealmName-V2: ISL.IN.IBM.COM
krbprincSubtree: krbrealmName-V2=ISL.IN.IBM.COM, ou=INDIA, o=IBM, c=IN
krbDeleteType: 3
krbMaxFailAuth: 0
krbDisableTimeInterval: 0
dn: cn=principal, krbrealmName-V2=ISL.IN.IBM.COM, ou=INDIA, o=IBM, c=IN
objectclass: container
cn: principal
dn: cn=policy, krbrealmName-V2=ISL.IN.IBM.COM, ou=INDIA, o=IBM, c=IN
objectclass: container
cn: policy
#
现在，在 LDAP 目录服务器中添加这些领域信息，如下所示：
# idsldapadd -h playstation.in.ibm.com -D cn=root -w secret
-f /usr/krb5/ldif/realm_add.ldif.vipin -c -v
ldap_init(playstation.in.ibm.com, 389)
add ou:
BINARY (5 bytes) INDIA
add objectclass:
BINARY (18 bytes) organizationalUnit
Operation 0 adding new entry ou=INDIA, o=IBM, c=IN
add objectclass:
BINARY (11 bytes) KrbRealm-V2
BINARY (11 bytes) KrbRealmExt
add krbrealmName-V2:
BINARY (14 bytes) ISL.IN.IBM.COM
add krbprincSubtree:
BINARY (53 bytes) krbrealmName-V2=ISL.IN.IBM.COM, ou=INDIA, o=IBM, c=IN
add krbDeleteType:
BINARY (1 bytes) 3
add krbMaxFailAuth:
BINARY (1 bytes) 0
add krbDisableTimeInterval:
BINARY (1 bytes) 0
Operation 1 adding new entry krbrealmName-V2=ISL.IN.IBM.COM, ou=INDIA, o=IBM, c=IN
add objectclass:
BINARY (9 bytes) container
add cn:
BINARY (9 bytes) principal
Operation 2 adding new entry cn=principal, krbrealmName-V2=ISL.IN.IBM.COM,
ou=INDIA, o=IBM, c=IN
add objectclass:
BINARY (9 bytes) container
add cn:
BINARY (6 bytes) policy
Operation 3 adding new entry cn=policy, krbrealmName-V2=ISL.IN.IBM.COM,
ou=INDIA, o=IBM, c=IN
#
配置 IBM NAS 主 KDC：
为了配置以 LDAP 作为后端服务器的 IBM NAS 主 KDC，需要 LDAP 服务器主机名（必须是完全限定的）以及根 DN 和密码。使用 /usr/krb5/sbin/config.krb5 命令配置这些信息。
# /usr/krb5/sbin/config.krb5
To configure a Server:
Usage: /usr/krb5/sbin/config.krb5 -h | -S [-a admin] -d domain -r realm [[-l
{ ldapserver | ldapserver:port }] [-u ldap_DN -p ldap_DN_pw] [-f {keyring |
keyring:entry_dn} -k keyring_pw] [-m masterkey_location] [-b bind_type]
[-R ldap_replica_list]]
To configure a slave KDC:
On a slave KDC machine:
Usage: /usr/krb5/sbin/config.krb5 -h | -E -d domain -r realm -s server
{ [-a admin] | -l{ ldapserver | ldapserver:port } -u ldap_DN -p ldap_DN_PW
[-f {keyring |keyring:entry_dn} -k keyring_pw] [-b bind_type][-R ldap_replica_list] }
On a master server machine:
Usage: /usr/krb5/sbin/config.krb5 -h | -P -r realm -d domain -e slave_KDC -g
To configure a Client:
Usage: /usr/krb5/sbin/config.krb5 -h | [-C] -r realm -d domain
{ -c KDC -s server | -l{ ldapserver | ldapserver:port_number } [-c KDC -s server] }
#
在配置主 KDC 时可以使用的参数如下：
| -S | 表示将要配置主 KDC。 |
| -d <domain> | <domain> 是 Kerberos 领域所属的域。 |
| -r <realm> | <realm> 是主 KDC 所在的 Kerberos 领域。 |
| -s <server> | <server> 是运行主 KDC 和 kadmind 管理服务器的机器的主机名。 |
| -u <ldap_DN> | <ldap_DN> 是用来连接 LDAP 服务器的 LDAP 绑定 DN（例如，cn=root）。 |
| -p <ldap_DN_pw> | <ldap_DN_pw> 是 LDAP 绑定 DN 的密码。 |
| -m <masterkey_location> | （只适用于 LDAP 目录）<masterkey_location> 是在使用 LDAP 存储数据时在本地文件系统中存储主密钥的文件的完全限定名。 |
| -b <bind_type> | <bind_type> 指定在连接 LDAP 服务器时使用的 LDAP 绑定机制。有效值是 'simple'、'cram-md5' 和 'external'。默认值是 'simple'。 |
| -f <keyring | keyring:enrty_dn> | 此选项指定在使用 SSL 连接方法时使用的 LDAP keyring 数据库。在这里，<keyring> 是完全限定的文件名，<entry_dn> 是 keyring 中的证书条目名。 |
| -k <keyring_pw> | 它指定用来访问 LDAP keyring 数据库的密码。如果没有指定密码，SSL 就使用适当的隐藏文件中的密码存储。 |
| -R <ldap_replica_list> | <ldap_replica_list> 是以空格分隔的 LDAP 副本服务器的列表，从 KDC 使用这些服务器实现负载平衡。 |
现在，配置 IBM NAS 主 KDC：
# /usr/krb5/sbin/config.krb5 -S -d in.ibm.com -r ISL.IN.IBM.COM
-l playstation.in.ibm.com -u cn=root -p secret
Initializing configuration...
Creating /etc/krb5/krb5_cfg_type...
Creating /etc/krb5/krb5.conf...
Creating /var/krb5/krb5kdc/kdc.conf...
Creating database files...
Initializing database 'LDAP' for realm 'ISL.IN.IBM.COM'
master key name 'K/M@ISL.IN.IBM.COM'
Attempting to bind to one or more LDAP servers. This may take a while...
You are prompted for the database Master Password.
It is important that you DO NOT FORGET this password.
Enter database Master Password:
Re-enter database Master Password to verify:
Attempting to bind to one or more LDAP servers. This may take a while...
WARNING: no policy specified for admin/admin@ISL.IN.IBM.COM;
defaulting to no policy. Note that policy may be overridden by
ACL restrictions.
Enter password for principal "admin/admin@ISL.IN.IBM.COM":
Re-enter password for principal "admin/admin@ISL.IN.IBM.COM":
Principal "admin/admin@ISL.IN.IBM.COM" created.
Creating keytable...
Attempting to bind to one or more LDAP servers. This may take a while...
Creating /var/krb5/krb5kdc/kadm5.acl...
Starting krb5kdc...
Attempting to bind to one or more LDAP servers. This may take a while...
krb5kdc was started successfully.
Starting kadmind...
Attempting to bind to one or more LDAP servers. This may take a while...
kadmind was started successfully.
The command completed successfully.
#
在以上命令成功地完成时，它创建各个配置文件。其中一些配置文件如下：
/etc/krb5/krb5.conf # cat /etc/krb5/krb5.conf
[libdefaults]
default_realm = ISL.IN.IBM.COM
default_keytab_name = FILE:/etc/krb5/krb5.keytab
default_tkt_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts
des-cbc-md5 des-cbc-crc
default_tgs_enctypes = des3-cbc-sha1 arcfour-hmac aes256-cts
des-cbc-md5 des-cbc-crc
[realms]
ISL.IN.IBM.COM = {
kdc = fsaix11.in.ibm.com:88
admin_server = fsaix11.in.ibm.com:749
default_domain = in.ibm.com
vdb_plugin_lib = /usr/lib/libkrb5ldplug.a
}
[domain_realm]
.in.ibm.com = ISL.IN.IBM.COM
fsaix11.in.ibm.com = ISL.IN.IBM.COM
[logging]
kdc = FILE:/var/krb5/log/krb5kdc.log
admin_server = FILE:/var/krb5/log/kadmin.log
default = FILE:/var/krb5/log/krb5lib.log
#
/var/krb5/krb5kdc/kdc.conf # cat /var/krb5/krb5kdc/kdc.conf
[kdcdefaults]
kdc_ports = 88
[realms]
ISL.IN.IBM.COM = {
database_name = LDAP
admin_keytab = /var/krb5/krb5kdc/kadm5.keytab
acl_file = /var/krb5/krb5kdc/kadm5.acl
dict_file = /var/krb5/krb5kdc/kadm5.dict
key_stash_file = /var/krb5/krb5kdc/.k5.ISL.IN.IBM.COM
kadmind_port = 749
kdc_ports = 88
max_life = 24h 0m 0s
max_renewable_life = 7d 0h 0m 0s
master_key_type = des3-cbc-sha1
supported_enctypes = des3-cbc-sha1:normal arcfour-hmac:normal
aes256-cts:normal des-cbc-md5:normal des-cbc-crc:normal
}
#
/var/krb5/krb5kdc/.kdc_ldap_data # cat /var/krb5/krb5kdc/.kdc_ldap_data
[ldapdefaults]
realm = ISL.IN.IBM.COM
bind_dn = cn=root
bind_dn_pw = {DES}CE609C90 4E2C88E10F02A341ED7C4CF
ldapserver = playstation.in.ibm.com
bind_type = simple
#LDAP_OPT_REFERRALS = 1
#LDAP_OPT_DEBUG = 0
#LDAP_OPT_DEREF = 0
#LDAP_OPT_TIMELIMIT = 300
#LDAP_OPT_SIZELIMIT = 0
#LDAP_OPT_SSL_TIMEOUT = 43200
#LDAP_OPT_REFHOPLIMIT = 10
[servers]
playstation.in.ibm.com = {
port = 389
replica_type = readwrite
preference = 4
}
#
在 IBM NAS 配置文件中隐藏 LDAP 绑定密码（只适用于 1.4.0.8 以前的 IBM NAS 版本）：
要注意，对于 1.4.0.8 以前的 IBM NAS 版本，LDAP 绑定密码以明文形式存储在 /var/krb5/krb5kdc/.kdc_ldap_data 文件中。这可能给 LDAP 服务器造成安全风险。IBM NAS version 1.4.0.8 为此提供了一种补救方法。现在，管理员可以使用 /usr/krb5/bin/ksetup 实用程序加密 LDAP 绑定密码。这个实用程序的 '-c' 标志接受明文并输出加密的计数器部分。可以把这个文本放在 /var/krb5/krb5kdc/.kdc_ldap_data 文件中，替代明文的密码。
# cat /var/krb5/krb5kdc/.kdc_ldap_data
[ldapdefaults]
realm = ISL.IN.IBM.COM
bind_dn = cn=root
bind_dn_pw = secret
ldapserver = playstation.in.ibm.com
bind_type = simple
#LDAP_OPT_REFERRALS = 1
#LDAP_OPT_DEBUG = 0
#LDAP_OPT_DEREF = 0
#LDAP_OPT_TIMELIMIT = 300
#LDAP_OPT_SIZELIMIT = 0
#LDAP_OPT_SSL_TIMEOUT = 43200
#LDAP_OPT_REFHOPLIMIT = 10
[servers]
playstation.in.ibm.com = {
port = 389
replica_type = readwrite
preference = 4
}
# /usr/krb5/sbin/ksetup -c "secret"
{DES}CE609C90 4E2C88E10F02A341ED7C4CF
# cat /var/krb5/krb5kdc/.kdc_ldap_data
[ldapdefaults]
realm = ISL.IN.IBM.COM
bind_dn = cn=root
bind_dn_pw = {DES}CE609C90 4E2C88E10F02A341ED7C4CF
ldapserver = playstation.in.ibm.com
bind_type = simple
#LDAP_OPT_REFERRALS = 1
#LDAP_OPT_DEBUG = 0
#LDAP_OPT_DEREF = 0
#LDAP_OPT_TIMELIMIT = 300
#LDAP_OPT_SIZELIMIT = 0
#LDAP_OPT_SSL_TIMEOUT = 43200
#LDAP_OPT_REFHOPLIMIT = 10
[servers]
playstation.in.ibm.com = {
port = 389
replica_type = readwrite
preference = 4
}
#
测试配置：
为了测试配置，使用 /usr/krb5/bin/kinit 获取票据并使用 /usr/krb5/sbin/kadmin 接口执行任何管理任务（例如添加一个主体）。
# /usr/krb5/bin/kinit admin/admin
Password for admin/admin@ISL.IN.IBM.COM:
# /usr/krb5/bin/klist
Ticket cache: FILE:/var/krb5/security/creds/krb5cc_0
Default principal: admin/admin@ISL.IN.IBM.COM
Valid starting Expires Service principal
09/29/08 17:49:35 09/30/08 17:49:33 krbtgt/ISL.IN.IBM.COM@ISL.IN.IBM.COM
# /usr/krb5/sbin/kadmin
Authenticating as principal admin/admin@ISL.IN.IBM.COM with password.
Password for admin/admin@ISL.IN.IBM.COM:
kadmin: getprincs
admin/admin@ISL.IN.IBM.COM
kadmin/changepw@ISL.IN.IBM.COM
kadmin/admin@ISL.IN.IBM.COM
kadmin/history@ISL.IN.IBM.COM
krbtgt/ISL.IN.IBM.COM@ISL.IN.IBM.COM
K/M@ISL.IN.IBM.COM
kadmin: ank -pw vip vip
WARNING: no policy specified for vip@ISL.IN.IBM.COM;
defaulting to no policy. Note that policy may be overridden by
ACL restrictions.
Principal "vip@ISL.IN.IBM.COM" created.
kadmin: q
#
配置步骤已经完成了，使用 LDAP 作为后端服务器的 IBM NAS 服务器已经在运行了。
注意，管理员还可以使用 ldapsearch 查看 LDAP 目录中存储的 Kerberos 数据：
# ldapsearch -h playstation.in.ibm.com -D cn=root -w secret -b "ou=india,o=ibm,c=in"
objectclass=*
ou=INDIA,o=IBM,c=IN
ou=INDIA
objectclass=organizationalUnit
objectclass=top
krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=KrbRealm-V2
objectclass=KrbRealmExt
objectclass=KrbPolicy
objectclass=top
krbrealmName-V2=ISL.IN.IBM.COM
krbprincSubtree=krbrealmName-V2=ISL.IN.IBM.COM, ou=INDIA, o=IBM, c=IN
krbDeleteType=3
krbMaxFailAuth=0
krbDisableTimeInterval=0
cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=container
objectclass=top
cn=principal
cn=policy,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=container
objectclass=top
cn=policy
cn=MKEYS,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=container
objectclass=top
cn=MKEYS
krbkeyversion=1,cn=MKEYS,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=KrbMstrKey
objectclass=top
krbkdcservicename=kdc
krbkeyversion=1
krbmstrkeydata=NOT ASCII
krbkeyname=K/M@ISL.IN.IBM.COM
cn=K/M,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=person
objectclass=KrbPrincipal
objectclass=KrbPolicy
objectclass=KrbModifierInfo
objectclass=top
cn=K/M
sn=ISL.IN.IBM.COM
krbprincipalname=K/M@ISL.IN.IBM.COM
krbprincipaltype=1
krbcurkeyversion=1
pwdlastset=0
krbtaggeddatalist=NOT ASCII
badpasswordtime=0
badpwdcount=0
lastlogon=0
secacctexpires=19700101000000Z
passwordmaxage=0
maxrenewage=604800
maxticketage=86400
krbattributes=192
secacctvalid=false
useraccountcontrol=524288
krbmodifiersname=db_creation@ISL.IN.IBM.COM
krbmodifytimestamp=1222692501
krbkeyversion=1,cn=K/M,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=KrbKey
objectclass=top
krbkeyversion=1
krbkeydata=NOT ASCII
krbkdcservicename=kdc
cn=krbtgt/ISL.IN.IBM.COM,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=person
objectclass=KrbPrincipal
objectclass=KrbPolicy
objectclass=KrbModifierInfo
objectclass=top
cn=krbtgt/ISL.IN.IBM.COM
sn=ISL.IN.IBM.COM
krbprincipalname=krbtgt/ISL.IN.IBM.COM@ISL.IN.IBM.COM
krbprincipaltype=2
krbcurkeyversion=1
pwdlastset=0
krbtaggeddatalist=NOT ASCII
badpasswordtime=0
badpwdcount=0
lastlogon=0
secacctexpires=19700101000000Z
passwordmaxage=0
maxrenewage=604800
maxticketage=86400
krbattributes=128
secacctvalid=true
useraccountcontrol=524288
krbmodifiersname=db_creation@ISL.IN.IBM.COM
krbmodifytimestamp=1222692502
krbkeyversion=1,cn=krbtgt/ISL.IN.IBM.COM,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,
ou=INDIA,o=IBM,c=IN
objectclass=KrbKey
objectclass=top
krbkeyversion=1
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkdcservicename=kdc
cn=kadmin/history,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
cn=kadmin/history
sn=ISL.IN.IBM.COM
badpasswordtime=0
badpwdcount=0
krbattributes=64
krbcurkeyversion=2
krbmodifiersname=kdb5_util@ISL.IN.IBM.COM
krbmodifytimestamp=1222692504
krbprincipalname=kadmin/history@ISL.IN.IBM.COM
krbprincipaltype=1
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
lastlogon=0
maxrenewage=604800
maxticketage=86400
objectclass=person
objectclass=top
objectclass=KrbPrincipal
objectclass=KrbPolicy
objectclass=KrbModifierInfo
passwordmaxage=0
pwdlastset=1222692504
secacctexpires=19700101000000Z
secacctvalid=false
useraccountcontrol=524288
krbkeyversion=2,cn=kadmin/history,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,
ou=INDIA,o=IBM,c=IN
objectclass=KrbKey
objectclass=top
krbkeyversion=2
krbkeydata=NOT ASCII
krbkdcservicename=kdc
cn=kadmin/admin,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
cn=kadmin/admin
sn=ISL.IN.IBM.COM
badpasswordtime=0
badpwdcount=0
krbattributes=132
krbcurkeyversion=3
krbmodifiersname=root/admin@ISL.IN.IBM.COM
krbmodifytimestamp=1222692517
krbprincipalname=kadmin/admin@ISL.IN.IBM.COM
krbprincipaltype=1
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
lastlogon=0
maxrenewage=604800
maxticketage=10800
objectclass=person
objectclass=top
objectclass=KrbPrincipal
objectclass=KrbPolicy
objectclass=KrbModifierInfo
passwordmaxage=0
pwdlastset=1222692517
secacctexpires=19700101000000Z
secacctvalid=true
useraccountcontrol=524288
cn=kadmin/changepw,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
cn=kadmin/changepw
sn=ISL.IN.IBM.COM
badpasswordtime=0
badpwdcount=0
krbattributes=8324
krbcurkeyversion=3
krbmodifiersname=root/admin@ISL.IN.IBM.COM
krbmodifytimestamp=1222692517
krbprincipalname=kadmin/changepw@ISL.IN.IBM.COM
krbprincipaltype=1
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
lastlogon=0
maxrenewage=604800
maxticketage=300
objectclass=person
objectclass=top
objectclass=KrbPrincipal
objectclass=KrbPolicy
objectclass=KrbModifierInfo
passwordmaxage=0
pwdlastset=1222692517
secacctexpires=19700101000000Z
secacctvalid=true
useraccountcontrol=524288
cn=admin/admin,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=person
objectclass=KrbPrincipal
objectclass=KrbPolicy
objectclass=KrbModifierInfo
objectclass=top
cn=admin/admin
sn=ISL.IN.IBM.COM
krbprincipalname=admin/admin@ISL.IN.IBM.COM
krbprincipaltype=1
krbcurkeyversion=1
pwdlastset=1222692515
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
badpasswordtime=0
badpwdcount=0
lastlogon=0
secacctexpires=19700101000000Z
passwordmaxage=0
maxrenewage=604800
maxticketage=86400
krbattributes=128
secacctvalid=true
useraccountcontrol=524288
krbmodifiersname=root/admin@ISL.IN.IBM.COM
krbmodifytimestamp=1222692515
krbkeyversion=1,cn=admin/admin,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,
ou=INDIA,o=IBM,c=IN
objectclass=KrbKey
objectclass=top
krbkeyversion=1
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkdcservicename=kdc
krbkeyversion=3,cn=kadmin/admin,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,
ou=INDIA,o=IBM,c=IN
objectclass=KrbKey
objectclass=top
krbkeyversion=3
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkdcservicename=kdc
krbkeyversion=3,cn=kadmin/changepw,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,
ou=INDIA,o=IBM,c=IN
objectclass=KrbKey
objectclass=top
krbkeyversion=3
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkdcservicename=kdc
cn=vip,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=person
objectclass=KrbPrincipal
objectclass=KrbPolicy
objectclass=KrbModifierInfo
objectclass=top
cn=vip
sn=ISL.IN.IBM.COM
krbprincipalname=vip@ISL.IN.IBM.COM
krbprincipaltype=1
krbcurkeyversion=1
pwdlastset=1222692587
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
krbtaggeddatalist=NOT ASCII
badpasswordtime=0
badpwdcount=0
lastlogon=0
secacctexpires=19700101000000Z
passwordmaxage=0
maxrenewage=604800
maxticketage=86400
krbattributes=128
secacctvalid=true
useraccountcontrol=524288
krbmodifiersname=admin/admin@ISL.IN.IBM.COM
krbmodifytimestamp=1222692587
krbkeyversion=1,cn=vip,cn=principal,krbrealmName-V2=ISL.IN.IBM.COM,ou=INDIA,o=IBM,c=IN
objectclass=KrbKey
objectclass=top
krbkeyversion=1
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkeydata=NOT ASCII
krbkdcservicename=kdc
#
结束语
本文详细讨论了如何在 AIX 上通过设置 IBM NAS 主 KDC 来使用 LDAP 目录。掌握这些概念肯定有助于 AIX Kerberos 管理员实现类似的配置。
中查找“在 AIX 上配置使用 LDAP 后端服务器的 IBM Network Authentication Service 主 KDC”更多相关内容
中查找“在 AIX 上配置使用 LDAP 后端服务器的 IBM Network Authentication Service 主 KDC”更多相关内容更多精彩
赞助商链接
