kerberos安装

标签：deb   admin   list   rds   多文件   端口号   tab   远程   ati   

1. 配置KDC主服务器
   1. 安装需要的包

#yum install krb5-serverkrb5-libs krb5-workstationpam_krb5 -y

1. 修改主机名，如果有DNS服务器，不需要配置

#vim /etc/hosts

1. Master服务器配置

#vim /etc/krb5.conf

       #vim /var/kerberos/krb5kdc/kdc.conf

1. 创建kerberos数据库，会让你输入

#kdb5_util create -r GAME.OPI.COM –s

将在/var/kerberos/krb5kdc/下生成很多文件

文件解释，kadmin.acl为kadmin允许用户列表，kdc.conf为加密方式

1. 定义策略，kadmin.local本地登录

#kadmin.local

#kadmin.local: add_policy -maxlife 360days -minlife 3days -minlength 8 -minclasses 3-history 3 default

#密码有效期90天；最少使用3天；密码最小长度为8个字符，这些字符必须来自5个可用类型中3个不同的类型：小写字母、大写字母、数字、标点符号和其他；不能修改为最近3次的密码。

1. master服务器上，添加admin用户

#kadmin.local:  addprincadmin/admin

查看指定帐户信息

#kadmin.local:  getprincadmin/admin

查看所有帐户信息

#kadmin.local: listprincs

1. 通配符实现授予所有权限，修改域名

#vim /var/kerberos/krb5kdc/kadm5.acl

1. 创建包含密钥的keytab文件，用于远程管理KDC

#kadmin.local:  ktadd -k /var/kerberos/krb5kdc/kadm5.keytab kadmin/changepw

1. 启动KDC服务和Kadmin服务

#service krb5kdc start

#service kadmin restart

1. 使用kinit命令，测试admin账户是否生成成功

#kinit admin/admin

1. 配置KDC从服务器
   1. 安装需要的包

#yum install krb5-server krb5-libs krb5-workstation pam_krb5 -y

1. 将master服务器上的几个文件拷贝到slave服务器上

#scp /etc/krb5.conf kerberos2:/etc/

#cd /var/kerberos/krb5kdc/

#scp kdc.conf kadm5.acl .k5.GAME.OPI.COM kerberos2:/var/kerberos/krb5kdc/

1. 创建host  keytab 文件

在master服务器上

kadmin: addprinc  -randkey  host/gamekerberos.opi.com

#添加principal

kadmin：ktadd–k /etc/krb5.keytab host/gamekerberos.opi.com

#生成keytab文件

在slave服务器上

kadmin: addprinc  -randkey  host/gamekerberos2.opi.com

#添加principal

kadmin：ktadd–k /etc/krb5.keytab host/gamekerberos2.opi.com

#生成keytab文件

1. 再slave服务器上创建数据库同步的配置文件,如多个slave，添加多个

#vim /var/kerberos/krb5kdc/kpropd.acl

1. 在slave上启动kpropd服务

#kpropd –S

查看端口号和进程，如果有就说明kpropd服务器已经启动

#netstat -nalp|grep 754

#ps aux|grep kpropd

至此，slave上的KDC服务还不能启动，因为无KDC的database数据

1. 将master服务器上的相关数据同步到slave上

#kdb5_util dump /var/kerberos/krb5kdc/slave_data

#kprop -f /var/kerberos/krb5kdc/slave_data gamekerberos2.opi.com

成功后，会出现以下信息：

       Database propagation to gamekerberos2.opi.com: SUCCEEDED

1. slave上/var/kerberos/krb5kdc/会多出一些文件

1. 测试主从是否生效
   1. 从第三台服务器，使用kinit 获取ticket，正常情况下会从master上获取
   2. 关闭master上的KDC服务
   3. 再次从第三台服务器上，使用kinit 获取ticket，如果成功，说明生效
   4. 也可以观察KDC的日志，主从都tail

#tail -f/var/log/krb5kdc.log

1. 当有多台slave时，定时更新脚本可以这样：

1. 修改防火墙策略开启tcp 88、749、754和646端口

#vim /etc/sysconfig/iptables

#service iptables restart

kerberos安装

标签：deb   admin   list   rds   多文件   端口号   tab   远程   ati   

原文地址：http://www.cnblogs.com/zadaye/p/6758192.html