Linux Notizen

Work in progress. :-) MS-SFU MS-KILE MS-PAC PA-PAC-OPTIONS CNAME-IN-ADDL-TKT S4U2proxy S4U2self msDS-AllowedToDelegateTo msDS-AllowedToActOnBehalfOfOtherIdentity resource-based constrained delegation flag (PA-PAC-OPTIONS) GSSAPI Abkürzungen PA: pre-authentication PAC: Privilege Attribute Certificate TGT: Ticket Granting Ticket TGS: Ticket Grating Server TKT: Ticket (???) S4U2self: Service for User to Self (für einen Service um ein Service-Ticket für einen User selbst abzufragen) S4U2proxy: Service for User to proxy (für constrained delegation und/oder resource-based-constrained delegation) Links MS-SFU, 1.3.3 Protocol Overview MS-SFU, 2.2.5 PA-PAC-OPTIONS MS-KILE, 2.2.10 PA-PAC-OPTIONS MS-SFU, 2.2.3 CNAME-IN-ADDL-TKT MS-ADA2, M, 2.211 Attribute msDS-AllowedToDelegateTo MS-ADA2, M, 2.210 Attribute msDS-AllowedToActOnBehalfOfOtherIdentity FreeIPA, Ticket #5444 [RFE] Support Resource based kerberos constrained delegation

Folgende Situation: Du hast einen Daemon unter User x mit UID 13001 . Dieser muss auf einen NFSv4 Share mit aktivierter Kerberos-Authentifizierung zugreifen. Der Dienst weiss aber nichts von Kerberos. Lösung bis RHEL6: basteln Bisher hätte ich vermutlich irgendwie etwas mit Umgebungsvariabeln + Credential-Cache-Renew Cronjobs oder kstart gebastelt. Lösung ab RHEL7: gssproxy Zumindest im Fall von Zugriff auf den NFS Share lässt sich das ohne irgendwelche Änderungen am betreffenden Dienst lösen: der NFS-Client routet GSS anfragen standardmässig über gssproxy und dieser ist standardmässig dafür konfiguriert (siehe /etc/gssproxy/gssproxy.conf oder /etc/gssproxy/*.conf in neueren Fedora Versionen). cp user-x.keytab /var/lib/gssproxy/clients/ 13001 .keytab Das wars! Der User x kann jetzt auf einen NFS Share mit Kerberos-Authentifizierung zugreifen. mod_auth_kerb -> mod_auth_gssapi Auch für den Apache HTTPD gibt es ein neues Modul für die Kerberos-Authentifizierung: mod_auth...

Alle Informationen welche du brauchst um für einen ActiveDirectory Account einen Kerberos Keytab zu generieren, kannst du per LDAP aus dem ActiveDirectory abholen.