SSH с единым входом в Kerberos

Question

SSH с единым входом в Kerberos

1348

bassjoe 2017-01-11 в 18:33

Я хочу аутентифицироваться с SSH через Kerberos SSO. Теперь, когда я вошел в систему под своим основным пользователем, sourcehostя получаю свой билет Kerberos, но не могу использовать его для SSH targethost.

Проблема, кажется, имя хоста. У меня есть принципал хоста, host/targethost.example.com@EXAMPLE.COMно не важно, если я ssh targethostили ssh targethost.example.comон переведен в принципал хоста host/targethost@EXAMPLE.COM(см. Сообщение об ошибке ниже), которого нет.

Я могу ошибаться, но я думаю, что это должно быть наоборот, и то и другое ssh targethostи ssh targethost.example.comдолжно быть переведено в основной узел host/targethost.example.com@EXAMPLE.COM.

Вот ошибка:

$ ssh targethost.example.com -v ... debug1: Unspecified GSS failure. Minor code may provide more information Server host/targethost@EXAMPLE.COM not found in Kerberos database  debug1: Unspecified GSS failure. Minor code may provide more information Server host/targethost@EXAMPLE.COM not found in Kerberos database  debug1: Unspecified GSS failure. Minor code may provide more information ... debug1: Next authentication method: password testuser@targethost.example.com's password:

Кто-нибудь может объяснить, как принципал хоста получен из имени хоста и как это можно настроить (я, кстати, на Ubuntu)?

Редактировать:

Ответ grawity привел меня к решению, которое я считаю подходящим для моей конфигурации.

В книге Гармана Kerberos я обнаружил, что канонизация на стороне KDC была предпочтительным способом.
Для моего KDC, поддерживаемого LDAP, я нашел в документации Kerberos (внизу этой страницы ) способ, как это можно реализовать.

Поэтому после создания принципала хоста с kdadmin.local/ addprincс полным доменным именем мне пришлось добавить псевдоним к новой записи принципала в LDAP, выполнив ldapmodifyследующую команду:

dn: krbPrincipalName=host/targethost.example.com@EXAMPLE.COM,cn=EXAMPLE.COM,cn=krbContainer,dc=example,dc=com replace: krbCanonicalName krbCanonicalName: host/targethost.example.com@EXAMPLE.COM - add: krbPrincipalName krbPrincipalName: host/targethost@EXAMPLE.COM

0

1 ответ на вопрос

1

Accepted Answer · 2017-01-11 18:45:28

Традиционно Kerberos использовал обратный DNS для канонизации основного имени. То есть после targethost.example.comпреобразования в IP-адрес он пытается преобразовать адрес обратно в «каноническое» имя и использует его для принципала.

Если ваш targethostбыл решен с помощью / и т.д. / хосты, то первое имя в соответствующей строке будет использоваться в качестве «канонической» имя:

# good: 1.2.3.4 targethost.example.com targethost  # bad: 1.2.3.4 targethost targethost.example.com

Если вы хотите, вы можете полностью отключить канонизацию на основе DNS через /etc/krb5.conf:

[libdefaults] dns_canonicalize_hostname = false

... и просто создайте два принципала для хоста - один для короткого имени, другой для длинного. (Это именно то, что делает Active Directory, и мало чем отличается от поведения SSL / TLS - всегда безопаснее напрямую использовать пользовательский ввод, а не запрашивать DNS.)

SSH с единым входом в Kerberos

1 ответ на вопрос

Похожие вопросы