Sujet : kerberos
-
Bases du client Kerberos sous Linux : krb5.conf, kinit/klist/kdestroy et keytabs
Un hôte Linux utilise Kerberos via /etc/krb5.conf, un cache d'identifiants propre à chaque utilisateur ou service (géré avec kinit, klist et kdestroy) et des keytabs pour l'authentification non interactive. Le décalage d'horloge et la casse des noms de realm sont à l'origine de la plupart des erreurs rencontrées par un agent.
-
Cohérence entre nom d'hôte, FQDN et DNS inverse : pourquoi les vérifications de nom Kerberos et TLS échouent en cas de désaccord
Les tickets de service Kerberos et la vérification du nom d'hôte TLS supposent que le nom résolu par le client pour un serveur corresponde à celui que le service pense porter. Un désaccord entre le nom d'hôte configuré, /etc/hosts, le DNS direct et l'enregistrement PTR produit des erreurs d'authentification et de certificat qui semblent sans rapport avec le nommage.
-
Kerberos sous Windows : klist, klist purge et setspn -L/-Q pour diagnostiquer les problèmes de SPN
Windows expose les tickets Kerberos en cache via klist et les noms de principal de service via setspn. Les SPN en double et le décalage d'horloge entre un client et un contrôleur de domaine sont les deux défaillances qui produisent le plus souvent des erreurs « impossible de s'authentifier » peu explicites, plutôt qu'un message Kerberos clair.
-
Durcir les exports NFS : périmètre réseau, options squash et sec=krb5 à la place d'AUTH_SYS
L'authentification NFS par défaut (AUTH_SYS) fait confiance à n'importe quel UID déclaré par un client. Cette méthodologie restreint les exports au plus petit réseau de clients, utilise root_squash/all_squash pour limiter ce qu'un UID déclaré peut faire, et passe à sec=krb5 lorsque les données justifient une véritable authentification.
Lisible par machine : JSON