利用 AIX V5.3 中使用 OpenSSH 保护通信安全

核心提示： 您已经从 KDC 获得了主体名 sandeep 的有效凭据，所以让我们来尝试以主体 root 用户进行登录，利用 AIX V5.3 中使用 OpenSSH 保护通信安全(7)，如清单 3 所示，清单 3. 显示 root 用户的失败 ssh 的示例输出#ssh -v root@aixdce

您已经从 KDC 获得了主体名 sandeep 的有效凭据，所以让我们来尝试以主体 root 用户进行登录，如清单 3 所示。

清单 3. 显示 root 用户的失败 ssh 的示例输出

#ssh -v root@aixdce16.in.ibm.com
OpenSSH_3.8.1p1, OpenSSL 0.9.6m 17 Mar 2004
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Connecting to aixdce16.in.ibm.com [9.182.192.116] port 22.
debug1: Connection established.
..
..
..
debug1: Next authentication method: password
root@aixdce16.in.ibm.com's password:
Connection closed by 9.182.192.116
　　　

调试信息 Connection established 表示，尽管 root 用户可以使用主体 sandeep 的凭据进行成功的身份验证，但是授权将失败，即使指定了正确的密码。这是因为 Kerberos 发现主体 sandeep@MSKERBEROS.IN.IBM.COM 不允许以 root 用户来访问。通过在 aixdce16.in.ibm.com:~root/.k5login 中创建一个文件并在其中添加 sandeep 主体，可以授权 root 用户使用 sandeep 主体。

因为 .k5login 文件覆盖了缺省的授权规则，所以 root 用户还需要在其中放置自己的主体，否则它将无法使用主体进行登录。下面的清单 4 显示了 aixdce16.in.ibm.com 上 root 用户的 home 目录中的 .k5login 文件的内容。

清单 4. 显示 root 用户的 home 目录中的 .k5login 文件内容的示例输出

# hostname
aixdce16
# cat .k5login
sandeep@MSKERBEROS.IN.IBM.COM
root@MSKERBEROS.IN.IBM.COM

在创建了该文件之后，root 用户应该可以使用 sandeep 的凭据成功地登录了。