AIX 6.1 上最新的 IBM Network Authentication Service

核心提示： 重新启动 IBM NAS 服务器：stop.krb5;start.krb5建议在公告的系统停机时间执行这一修改，除非正在运行副本服务器，AIX 6.1 上最新的 IBM Network Authentication Service(2)，可以应对在升级期间服务器不可用的问题， 对 Kerbero

重新启动 IBM NAS 服务器：stop.krb5;start.krb5

建议在公告的系统停机时间执行这一修改，除非正在运行副本服务器，可以应对在升级期间服务器不可用的问题。

对 Kerberos 身份验证票据生命期的细粒度控制

在包含使用 Kerberos 的应用程序的真实场景中，管理员很可能希望对 Kerberos 票据的生命期实施基于机器的细粒度控制。例如，当最终用户使用某一组机器访问 AIX NFS V4 空间时，AIX NFS V4 管理员可能需要为他们提供生命期非常短的凭证；但是，当使用另一组机器访问 AIX NFS V4 空间时，可以提供生命期比较灵活的凭证（因为这两组服务器可能属于不同的服务器类型）。

为了满足这种需求，IBM NAS 1.4.0.8 引入了一个新关系 ticket_lifetime，它是 IBM NAS 客户机配置文件的组成部分，位于 /etc/krb5/krb5.conf 中的 [libdefaults] 小节下面。这个关系以时间作为值，必须在管理员希望实施票据生命期控制的 AIX 客户机机器的 /etc/krb5/krb5.conf 文件中指定它。它有助于管理员限制向这台 AIX 客户机机器的用户颁发的 Kerberos 票据的生命期。

#　cat　/etc/krb5/krb5.conf　
...　
[libdefaults]　
　　ticket_lifetime　=　4h5m　
...　　　　　　　　　

当在 AIX 客户机机器上设置它时，可以确保从这个机器获得的所有 Kerberos 票据的生命期都等于 4 小时 5 分钟。图 1 给出一个示例场景：在这个场景中，当使用 Machine A 进行身份验证时，Kerberos 主体 Sandeep@Relam 获得有效期为 4 小时 5 分钟的票据；而在使用 Machine B 进行身份验证时，同一个用户会获得有效期为 24 小时的票据。这只是许多可能的配置方案之一。因此，提供细粒度控制可以增强 Kerberos 凭证的可管理性，这是另一个升级理由。