問題タブ [mit-kerberos]

私のアプリケーションは、CIFS と Kerberos を使用して Isilon 共有を安全にマウントする必要があります。私のmount試みは次を返します: Required key not available:

mount -t cifs //fileserver.example.com/client123/files /mnt/client123/files -o username=acoder,password=XXXXXX,sec=krb5

応答：

からの対応するエントリは次のとおりです。/var/log/messages

背景と構成

以下を使用してキータブを追加しました。

で確認klist -kte:

ここにありrequest-key.confます：

チケットキャッシュ:

「必要なキーがありません」というエラーの原因は何ですか?

編集: CIFS でデバッグを有効にし、共有を再度マウントしようとしました。その出力は次のとおりです。

JAAS を使用して Java アプリを実行すると、驚くべき結果が得
られました。MIT Kerberos ツール 'kfw-4.0.1-i386.msi' をインストールするまで、Java クライアント アプリケーションは Windows LSA にアクセスできませんでした。

JAAS conf ファイルの設定:

Windows 7 で Java 1.8 を実行しています
-Dsun.security.krb5.debug=true を使用してログを取得しました

左は MIT ツールをインストールせずに失敗、
右は MIT ツールをインストールして成功

レジストリ キー
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\Kerberos\Parameters 値の名前: allowtgtsessionkeyを 0 と 1 に設定しようとしましたが、MIT ツールのアンインストール中に何も変更されませんでした。

MIT ツールをインストールせずに LSA にアクセスできるかどうか教えてもらえますか? または、JAAS が Windows LSA とどのように対話しているかについての情報を教えてください。

MIT Kerberos 実装 (k4w-4.0.1 の krb5_32.dll と関連ヘッダー ファイルを使用) を使用して、TGT とサービス チケットを取得しようとしています。

krb5_init_context 関数をロードしました。これは、ヘッダー ファイル、google および SO によると、1 つの引数 (krb5_context 構造体) のみを取り、それを設定します。

Datanode に対して Kerberos を有効にしました。

データノードを起動しようとすると。戻り値 3 で失敗します。

しかし、キータブファイルからのユーザーログインは完璧でした。namenode との Datanode 通信も行われていました。

また、ps aux は、実行中の datanode デーモンを示します。

この奇妙な動作に対する提案/回答。

注: これは単一ノード クラスタであり、Namenode が実行されています。Keytab ファイルに問題はありません。

私はubuntuとkerberosの初心者で、vm ubuntuでkerberosを構成しようとしています。ホストの構成でステップ2を渡すことができません。以下はファイルです。私は学習の過程にあるので、助けてください。

私の問題は、ローカルホストにpingを実行すると応答が返されることですが、モナークまたはkrb1にpingを実行するとエラーが発生します。

私のetc/hostsは以下のようになります

127.0.0.1 ローカルホスト

192.168.7.12 ubuntu.spinlock.hr ubuntu krb1.spinlock.hr krb1 モナーク.spinlock.hr モナーク

私のetc/hostnameは以下のようになります

Ubuntu

私が間違っているところを教えてください

注 - kerberos サーバーとクライアントの両方が同じマシンにインストールされます。ただし、クライアントとサーバーの役割を区別するために、クライアントは monarch.spinlock.hr と呼ばれ、サーバーは krb1.spinlock.hr と呼ばれます。etc/hosts ファイルで

私たちのプロジェクトでは、クライアントは独自の KDC サーバーを持っており、クライアントは認証のために WSO2 がクライアント KDC と通信する必要があることを望んでいます。WSO2 で kerberos を有効にする方法は知っていますが、WSO2 とクライアント KDC サーバー間の接続を確立できません (要するに、WSO2 ID サーバーを外部 KDC サーバーに接続したいのです)。

現在、MIT kerberos を使用してアクセスを保護するように Hadoop を構成しています。その一環として、ホスト名を持つ各サービス専用のサービス プリンシパルをいくつか作成する必要がありました。

しかし、サービスプリンシパルの使い方がわかりません。アプリケーションサーバーが他のユーザーのサービスチケットを認証するために、なぜ/どのようにそれを必要とするのですか?

アプリケーションサーバーを使用しようとしているユーザーを認証するためにアプリケーションサーバーが従う手順/ステップを取得できませんでした。

以下のブログに従って、サービス チケットを生成する一連の手順を理解しました。ただし、アプリケーション サーバーがサービス チケットを使用してユーザーを識別する方法については説明していませんでした。誰でもそのステップを説明してください。

http://www.markwilson.co.uk/blog/2005/06/kerberos-authentication-explained.htm