Créer un serveur d’authentification Kerberos sur une Debian Squeeze

Introduction

Un collègue ayant à travailler sur une méthode d’installation automatisée, devait entre deux Ubuntu se connecter en SSH afin de réaliser quelques manips ! (Salut Loïc )

Il rencontrait un souci, lorsqu’il tapait ssh loic@IP, rien ne se passait ! Je ne l’avais pas remarqué et Loïc commençait à fatiguer de ne pas trouver la cause de ceci alors que SSH il métrise (attention fôte obligée).

Il me résuma la situation et me demanda si je n’avait pas une idée ? …quelques secondes plus tard, ma réponse fut non ! Un peu perplèxe, je lui proposais de vérifier la configuration cliente de chacun des deux postes… ssh_config. Là deux options étaient présentes qui ne l’étaient pas sur mon poste !

GSSAPIAuthentication yes

GSSAPIDelegateCredentials no

Que sont ces options ? http://www.slac.stanford.edu/comp/unix/sshGSSAPI.html Ah ! Du kerberos dans SSH !?

What is GSSAPI Authentication?

GSSAPI is a ITEF standard for doing strong encrypted authentication in network based applications. OPENssh uses this API and the underlying kerberos 5 code to provide a alternative means of authentication other than ssh_keys.

Voilà donc le truc, le bidule, le grain qui semblait casser la belle routine de Loïc à propos du SSH !

Nous en avons eu la confirmation lorsque ces lignes furent commentées !

Le soir même je me suis intéressé à cette implémentation… Mais il fallait installer et configurer un serveur Kerberos sur ma Debian…

C’est le pourquoi de cet article !

Création du serveur d’authentification Kerberos

On trouve tout sur le Web, de tout et de rien, et surtout des oublis… En effet il faut créer la branche, le royaume lors de cette installation les fichiers de configuration ne suffisent pas !

Code Source
   
apt-get install krb5-{admin-server,kdc}

Quelques questions vous sont posées et correspondent (chez moi) à cela : realm DOM-SLN.LOCAL, host debian, domain dom-sln.local

…

Il faut ensuite indiquer à votre machine qu’un royaume doit-être créé !

Avec la commande :

Maintenant nous allons ajuster les fichiers de configuration afin qu’ils s’accorde avec les caractéristiques de votre royaume.

Editez /etc/krb5.conf puis dans la rubrique [domain_realm] ajoutez en fin :

Ajoutez en fin de rubrique [realms]

Code Source
   
DOM-SLN.LOCAL = {
        kdc = debian
        admin_server = debian
        default_domain = dom-sln.local
}

Puis faites en sorte que les journaux soient dans  /var/log/kerberos

Mettre en finc de fichier :

Code Source
   
[logging]
    kdc = FILE:/var/log/kerberos/krb5kdc.log
    admin_server = FILE:/var/log/kerberos/kadmin.log
    default = FILE:/var/log/kerberos/krb5lib.log

Ensuite ajoutez dans la rubrique [libdefaults]

Code Source
   
allow_weak_crypto = false

Redémarrez les services :

Nous allons créer les identifiants :

• root/admin
• lolo
• root

Puis créer des règles sur les mots de passe

Code Source
   
kadmin.local:  add_policy -minlength 8 -minclasses 3 admin
kadmin.local:  add_policy -minlength 8 -minclasses 4 host
kadmin.local:  add_policy -minlength 8 -minclasses 4 service
kadmin.local:  add_policy -minlength 8 -minclasses 2 user

Nous alons maintenant créer : lolo et root et root/admin, lolo sans privilège et root ou root/admin avec tout

Editez /etc/krb5kdc/kadm5.acl

Puis mettez :

Code Source
   
*/admin *
root *

Redémarrez les services

Ici votre serveur d’authentification est prêt ! Avec votre utilisateur « lolo » lancez la commande « kinit » afin de créer un ticket kerberos pour celui-ci.
Dans le journal /var/log/kerberos/krb5kdc.log apparait les lignes suivantes :

Voilà !

http://techpubs.spinlocksolutions.com/dklar/kerberos.html#krb-install

http://itservices.stanford.edu/service/kerberos/install_debian

Share on Facebook