Форум программистов [Powered by Invision Power Board]

Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате

Форум программистов > Администрирование *NIX систем > Проблема с kerberos-клиентом в Linux

Автор: Mannerghaim 10.11.2011, 21:54

Доброго вечера всем неспящим.
Сразу к проблеме:
что имеем
есть домен-контроллер (ОС Windows Server 2003), так же на нём роль DNS
есть почтовый сервер (ОС AltLinux 6.0. Centaurus), программное обеспечение на нём: SMTP-сервер (postfix), IMAP-сервер (dovecot), вебсервер Apache httpd2 с прикрученным к нему mod_auth_kerb5.4 (ставил из исходников), web-морда для почты - roundcube-webmail 0.6, MySQL-сервер, а так же керберос
Оба сервера во одной подсети, она внутренняя - выхода в интернет не имеет.

цель: пользователь логинится в домене на своей машине, открывает браузер и тут же сразу попадает к списку своих входящих сообщений, не логинясь второй раз в почтовой системе
т.е. необходимо настроить , так называемую, прозрачную авторизацию (single sign on). Почтарь работает. Затык оказался в настройке кербероса на линухе

устанавливаю его через apt-get
после чего правлю конфиг /etc/krb5.conf
в конфиге пишу:

Код



[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
default_realm = DOMAIN.COM
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
forwardable = yes

[realms]
DOMAIN.COM = {
kdc = dc2011.domain.com
admin_server = dc2011domain.com
}

[domain_realm]
domain.com = DOMAIN.COM
.domain.com = DOMAIN.COM

[appdefaults]
pam = {
debug = false
ticket_lifetime = 36000
renew_lifetime = 36000
forwarding = true
krb4_convert = false
}

примечание - в конфиге dc2011.domain.com- виндовый домен-контроллер
domain.com - домен

после правки конфига запускаю утилиту
kdb5_util create -s
нам надо инициализировать базу кербероса
просят ввести мастер кей, ввожу, повторяю и всё норм.
проверяю - через kinit имя_уч_записи_в_домене@DOMAIN.COM выдается билет, который потом можно просмотреть через klist

но вот при попытке перезагрузки сервиса
service krb5kdc restart
вываливается ошибка FAILED

Код


"cannot initialize realm DOMAIN.COM - see log file"

смотрю лог файл - tail /var/log/krb5kdc.log
а там пишется что ключ вроде как повреждён... 0_о
в логе следующее:

Код


krb5kdc: Stored master key is corrupted - while fetching master key K/M for realm DOMAIN.COM

в общем затык. и никуда далее.. в гугле описание решения для исправления данной ошибки я не нашел, Помогите кто чем может ? два дня уже голову ломаю... =\
(если какие конфиги ещё надо выложить - скину)

Автор: bilbobagginz 11.11.2011, 14:25

а зачем вам надо вообще с керберосом возиться?
если из-за доменов, есть пакет centrifydc (гугл)
очень удобно все это прикрывает утилитами вида adjoin, adleave, etc.