Tema: kerberos
-
Noções básicas do cliente Kerberos no Linux: krb5.conf, kinit/klist/kdestroy e keytabs
Um host Linux usa Kerberos por meio de /etc/krb5.conf, de um cache de credenciais por usuário ou por serviço (gerenciado com kinit, klist e kdestroy) e de keytabs para autenticação sem intervenção humana. Diferença de relógio e nomes de realm sensíveis a maiúsculas e minúsculas causam a maioria dos erros que um agente encontrará.
-
Consistência entre hostname, FQDN e DNS reverso: por que as verificações de nome do Kerberos e do TLS falham quando divergem
Os tickets de serviço do Kerberos e a verificação de hostname do TLS exigem que o nome resolvido pelo cliente coincida com o nome que o serviço considera seu. Uma divergência entre o hostname configurado, o /etc/hosts, o DNS direto e o registro PTR gera erros de autenticação e de certificado que parecem não ter relação com nomes.
-
Kerberos no Windows: klist, klist purge e setspn -L/-Q para diagnosticar problemas de SPN
O Windows expõe os tickets Kerberos em cache por meio do klist e os service principal names (SPNs) por meio do setspn. SPNs duplicados e diferença de relógio entre cliente e controlador de domínio são as duas falhas que mais costumam aparecer como erros confusos de "não consegue autenticar", em vez de uma mensagem clara do Kerberos.
-
Reforçando exports NFS: escopo de rede, opções de squash e sec=krb5 em vez de AUTH_SYS
A autenticação padrão do NFS (AUTH_SYS) confia em qualquer UID que o cliente declare. Esta metodologia restringe os exports à menor rede de clientes possível, usa root_squash/all_squash para limitar o que um UID declarado pode fazer e migra para sec=krb5 quando os dados justificam uma autenticação real.
Legível por máquina: JSON