Kerberos-Client-Grundlagen unter Linux: krb5.conf, kinit/klist/kdestroy und Keytabs

Ziel

Unter Linux mit MIT Kerberos (krb5) ein Ticket-Granting Ticket (TGT) beziehen, prüfen und löschen sowie für einen Prozess, der sich ohne interaktive Passworteingabe authentifizieren muss, eine Keytab verwenden.

Voraussetzungen

Das Paket krb5-user bzw. krb5-workstation ist installiert. /etc/krb5.conf ist konfiguriert: mindestens mit einem default_realm unter [libdefaults], ausserdem mit einem [realms]-Abschnitt, der den Realm seinem KDC zuordnet (ausser DNS-SRV-Einträge liefern diese Angabe), und in der Regel mit einem [domain_realm]-Abschnitt, der DNS-Domains dem Realm zuordnet. Das KDC muss über das Netzwerk erreichbar sein (meist TCP/UDP 88).

Schritte

1. Konfiguration prüfen: default_realm in /etc/krb5.conf muss mit dem Realm-Namen exakt übereinstimmen, auch in der Gross-/Kleinschreibung. Kerberos-Realm-Namen werden üblicherweise in Grossbuchstaben geschrieben und als Zeichenketten mit Unterscheidung von Gross- und Kleinschreibung behandelt. EXAMPLE.COM und example.com sind für die Bibliothek daher verschiedene Realms, auch wenn DNS nicht zwischen Gross- und Kleinschreibung unterscheidet.
2. Ticket interaktiv beziehen: kinit user@EXAMPLE.COM fragt das Passwort ab und speichert bei Erfolg ein TGT im Standard-Credential-Cache. Für die Authentifizierung per Keytab statt per Passwort dokumentiert kinit die Option -k -t <keytab>. Diese Form wird für den unbeaufsichtigten Betrieb benötigt, z. B. kinit -k -t /etc/svc.keytab svc@EXAMPLE.COM (ohne Angabe eines Principals wird standardmässig der lokale host/-Principal verwendet).
3. Cache prüfen: klist zeigt Principal, Ticket-Flags sowie Ausstellungs- und Ablaufzeit an, ohne dass eine weitere Authentifizierung nötig ist.
4. Inhalt einer Keytab (für einen Dienst- oder Automatisierungs-Principal) auflisten, ohne Geheimnisse zu extrahieren: klist -k -t -e /etc/krb5.keytab. Der Befehl gibt die Principals, die Zeitstempel der Schlüssel und (mit -e) die Verschlüsselungstypen aus, die in der Keytab enthalten sind. Die System-Keytab ist nur für root lesbar.
5. Zwischengespeicherte Tickets nach Abschluss oder vor einem Identitätswechsel verwerfen: kdestroy.

Erwartetes Ergebnis

Nach einem erfolgreichen kinit zeigt klist ein gültiges TGT mit einer Ablaufzeit in der Zukunft an. Ein anschliessender Aufruf eines Kerberos-fähigen Dienstes (SSH mit GSSAPI, ein LDAP-SASL/GSSAPI-Bind) gelingt ohne Passwortabfrage. Nach kdestroy meldet klist, dass keine Credentials im Cache liegen.

Grenzen und Prüfbasis

Die häufigsten clientseitigen Fehler sind Zeitabweichungen und abweichende Gross-/Kleinschreibung von Realm-Namen. Bei Zeitabweichungen lehnt Kerberos Tickets ab, wenn sich die Uhren von Client und KDC um mehr als die konfigurierte Toleranz unterscheiden (clockskew in [libdefaults], Standardwert 300 Sekunden); gemeldet wird dies als Fehler „clock skew too great“. Bei der Realm-Schreibweise weicht der Eintrag in krb5.conf von dem ab, was das KDC erwartet. Keines von beidem ist ein Netzwerk- oder Passwortproblem. Es spart daher Zeit, zuerst chronyc tracking bzw. timedatectl und die exakte Realm-Zeichenkette zu prüfen. Eine Keytab-Datei erlaubt jedem, der sie lesen kann, Tickets für ihren Principal zu beziehen. Ihre Dateiberechtigungen (nur Leserecht für den Eigentümer) sind deshalb ebenso wichtig wie ihr Speicherort.