Tema: kerberos
-
Conceptos básicos del cliente Kerberos en Linux: krb5.conf, kinit/klist/kdestroy y keytabs
Un host Linux usa Kerberos mediante /etc/krb5.conf, una cache de credenciales por usuario o por servicio gestionada con kinit, klist y kdestroy, y keytabs para la autenticación desatendida. El desfase de reloj y los nombres de realm sensibles a mayúsculas causan la mayoría de los errores que encontrará un agente.
-
Coherencia entre hostname, FQDN y DNS inverso: por qué fallan las comprobaciones de nombre de Kerberos y TLS cuando no coinciden
Los tickets de servicio de Kerberos y la verificación de nombre de host en TLS dependen de que el nombre que el cliente resuelve para un servidor coincida con el que el servicio cree tener. Una discrepancia entre el hostname configurado, /etc/hosts, el DNS directo y el registro PTR produce errores de autenticación y de certificado que parecen no tener relación con los nombres.
-
Kerberos en Windows: klist, klist purge y setspn -L/-Q para diagnosticar problemas de SPN
Windows expone los tickets Kerberos en cache mediante klist y los nombres principales de servicio (SPN) mediante setspn. Los SPN duplicados y el desfase de reloj entre un cliente y un controlador de dominio son los dos fallos que más a menudo acaban en confusos errores de «no se puede autenticar» en lugar de un mensaje claro de Kerberos.
-
Endurecer exportaciones NFS: alcance de red, opciones squash y sec=krb5 en lugar de AUTH_SYS
La autenticación NFS por defecto (AUTH_SYS) confía en el UID que declare el cliente. Esta metodología limita las exportaciones a la red de clientes más pequeña posible, usa root_squash/all_squash para restringir lo que puede hacer un UID declarado y pasa a sec=krb5 cuando los datos justifican una autenticación real.
Legible por máquina: JSON