Services/Kerberos/Install - Historique des versions

Didier le 18 avril 2015 à 16:09

2015-04-18T16:09:35Z

Didier : /* Client SSH */

2015-04-14T14:05:34Z

Client SSH

← Version précédente		Version du 14 avril 2015 à 14:05
Ligne 284 :		Ligne 284 :
	Comme SSH utilise PAM par défaut, le paquet <package>pam_krb5</package> doit être [[#Connexion_locale_.28PAM.29\|installé et activé]].		Comme SSH utilise PAM par défaut, le paquet <package>pam_krb5</package> doit être [[#Connexion_locale_.28PAM.29\|installé et activé]].
	{{Admon/tip\|Utilisateurs pouvant se connecter au serveur\|Seul les utilisateurs ayant un '''principal Kerberos''' et ayant un '''compte utilisateur sur le serveur SSH''' peuvent se connecter en SSH avec la méthode ''gssapi-with-mic''.}}		{{Admon/tip\|Utilisateurs pouvant se connecter au serveur\|Seul les utilisateurs ayant un '''principal Kerberos''' et ayant un '''compte utilisateur sur le serveur SSH''' peuvent se connecter en SSH avec la méthode ''gssapi-with-mic''.}}

			Il est possible de se [[Windows/Kerberos/Client\|connecter en GSSAPI depuis un poste Windows]]

	==== Sur le serveur Kerberos ====		==== Sur le serveur Kerberos ====

Didier : /* Test de connexion */

2015-04-14T11:54:45Z

Test de connexion

@@ Ligne 315 : / Ligne 315 : @@
 #* <pre>GSSAPIAuthentication yes</pre>
 #* <pre>GSSAPIDelegateCredentials yes</pre>
 === Authentification Apache ===

Didier : /* Test de connexion */

2015-04-10T08:39:52Z

Test de connexion

← Version précédente		Version du 10 avril 2015 à 08:39
Ligne 311 :		Ligne 311 :
	Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste		Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste
	# On acquiert un jeton kerberos<pre>kinit -k -t /root/root.keytab root</pre>		# On acquiert un jeton kerberos<pre>kinit -k -t /root/root.keytab root</pre>
	# On se connecte par ssh en forçant l'option ''GSSAPIAuthentication''<pre>ssh root@server.dnsdynamic.net -o "GSSAPIAuthentication yes" -o "PasswordAuthentication"</pre>		# On se connecte par ssh en forçant l'option ''GSSAPIAuthentication''<pre>ssh root@server.dnsdynamic.net -o "GSSAPIAuthentication yes" -o "PasswordAuthentication no"</pre>
	# Si la connexion est un succès (sans mot de passe), on vérifie que le fichier <path>/etc/ssh/ssh_config</path> contient bien		# Si la connexion est un succès (sans mot de passe), on vérifie que le fichier <path>/etc/ssh/ssh_config</path> contient bien
	#* <pre>GSSAPIAuthentication yes</pre>		#* <pre>GSSAPIAuthentication yes</pre>

Didier : /* Tests */

2015-04-10T08:39:15Z

Tests

← Version précédente		Version du 10 avril 2015 à 08:39
Ligne 307 :		Ligne 307 :
	* On copie dans <path>/root</path> l'export du principal root.		* On copie dans <path>/root</path> l'export du principal root.

	==== ~~Tests~~ ====		==== Test de connexion ====

	Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste		Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste

Didier : /* Tests */

2015-04-10T08:37:44Z

Tests

← Version précédente		Version du 10 avril 2015 à 08:37
Ligne 311 :		Ligne 311 :
	Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste		Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste
	# On acquiert un jeton kerberos<pre>kinit -k -t /root/root.keytab root</pre>		# On acquiert un jeton kerberos<pre>kinit -k -t /root/root.keytab root</pre>
	# On se connecte par ssh en forçant l'option ''GSSAPIAuthentication''<pre>ssh root@server.dnsdynamic.net -o "GSSAPIAuthentication yes"</pre>		# On se connecte par ssh en forçant l'option ''GSSAPIAuthentication''<pre>ssh root@server.dnsdynamic.net -o "GSSAPIAuthentication yes" -o "PasswordAuthentication"</pre>
	# Si la connexion est un succès (sans mot de passe), on vérifie que le fichier <path>/etc/ssh/ssh_config</path> contient bien		# Si la connexion est un succès (sans mot de passe), on vérifie que le fichier <path>/etc/ssh/ssh_config</path> contient bien
	#* <pre>GSSAPIAuthentication yes</pre>		#* <pre>GSSAPIAuthentication yes</pre>

Didier : /* Client SSH */

2015-04-10T08:17:57Z

Client SSH

← Version précédente		Version du 10 avril 2015 à 08:17
Ligne 283 :		Ligne 283 :

	Comme SSH utilise PAM par défaut, le paquet <package>pam_krb5</package> doit être [[#Connexion_locale_.28PAM.29\|installé et activé]].		Comme SSH utilise PAM par défaut, le paquet <package>pam_krb5</package> doit être [[#Connexion_locale_.28PAM.29\|installé et activé]].
			{{Admon/tip\|Utilisateurs pouvant se connecter au serveur\|Seul les utilisateurs ayant un '''principal Kerberos''' et ayant un '''compte utilisateur sur le serveur SSH''' peuvent se connecter en SSH avec la méthode ''gssapi-with-mic''.}}

			==== Sur le serveur Kerberos ====

			On créé un principal qui aura accès à tous les serveurs. Il n'y a pas de nom mieux choisi que '''root'''.
			# On créé le principal pour root<pre>kadmin.local -q "addprinc -randkey root"</pre>
			# On s'assure que le fichier d'export n'existe pas encore<pre>rm -f /tmp/root.keytab</pre>
			# On exporte ce principal<pre>kadmin.local -q "ktadd -k /tmp/root.keytab root"</pre>
			# On copie dans <path>/root</path> du '''client''' l'export du principal root.

	Pour chaque serveur SSH devant être géré par kerberos		Pour chaque serveur SSH devant être géré par kerberos
Ligne 288 :		Ligne 297 :
	# On s'assure que le fichier d'export n'existe pas encore<pre>rm -f /tmp/krb5.keytab</pre>		# On s'assure que le fichier d'export n'existe pas encore<pre>rm -f /tmp/krb5.keytab</pre>
	# On exporte ce principal (et uniquement lui pour des raisons de sécurité)<pre>kadmin.local -q "ktadd -k /tmp/krb5.keytab host/server.dnsdynamic.net"</pre>		# On exporte ce principal (et uniquement lui pour des raisons de sécurité)<pre>kadmin.local -q "ktadd -k /tmp/krb5.keytab host/server.dnsdynamic.net"</pre>
	# On copie ce principal sur le serveur SSH<pre>scp /tmp/krb5.keytab server.dnsdynamic.net:/etc/krb5.keytab</pre>		# On copie ce principal sur le '''serveur SSH'''<pre>scp /tmp/krb5.keytab server.dnsdynamic.net:/etc/krb5.keytab</pre>
	# On copie le fichier de configuration Kerberos sur le serveur SSH<pre>scp /etc/krb5.conf server.dnsdynamic.net:/etc/krb5.conf</pre>		# On copie le fichier de configuration Kerberos sur le serveur SSH<pre>scp /etc/krb5.conf server.dnsdynamic.net:/etc/krb5.conf</pre>

	~~Depuis~~ le serveur SSH		==== Sur le serveur SSH ====
	* On lui spécifie explicitement le propriétaire/groupe de l'export du principal<pre>chown root:root /etc/krb5.keytab</pre>		* On lui spécifie explicitement le propriétaire/groupe de l'export du principal<pre>chown root:root /etc/krb5.keytab</pre>
	* On lui spécifie les droits associés<pre>chmod 600 /etc/krb5.keytab</pre>		* On lui spécifie les droits associés<pre>chmod 600 /etc/krb5.keytab</pre>

			==== sur le client SSH ====
			* On copie dans <path>/root</path> l'export du principal root.

			==== Tests ====

	Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste		Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste
	# On acquiert un jeton kerberos<pre>kinit root</pre>		# On acquiert un jeton kerberos<pre>kinit -k -t /root/root.keytab root</pre>
	# On se connecte par ssh en forçant l'option ''GSSAPIAuthentication''<pre>ssh root@server.dnsdynamic.net -o "GSSAPIAuthentication yes"</pre>		# On se connecte par ssh en forçant l'option ''GSSAPIAuthentication''<pre>ssh root@server.dnsdynamic.net -o "GSSAPIAuthentication yes"</pre>
	# Si la connexion est un succès, on vérifie que le fichier <path>/etc/ssh/ssh_config</path> contient bien		# Si la connexion est un succès (sans mot de passe), on vérifie que le fichier <path>/etc/ssh/ssh_config</path> contient bien
	#* <pre>GSSAPIAuthentication yes</pre>		#* <pre>GSSAPIAuthentication yes</pre>
	#* <pre>GSSAPIDelegateCredentials yes</pre>		#* <pre>GSSAPIDelegateCredentials yes</pre>
	{{Admon/tip\|Utilisateurs pouvant se connecter au serveur\|Seul les utilisateurs ayant un '''principal Kerberos''' et ayant un '''compte utilisateur sur le serveur''' peuvent se connecter en SSH avec la méthode ''gssapi-with-mic''.}}

	=== Authentification Apache ===		=== Authentification Apache ===

Didier : /* Client SSH */

2015-04-10T07:40:50Z

Client SSH

← Version précédente		Version du 10 avril 2015 à 07:40
Ligne 290 :		Ligne 290 :
	# On copie ce principal sur le serveur SSH<pre>scp /tmp/krb5.keytab server.dnsdynamic.net:/etc/krb5.keytab</pre>		# On copie ce principal sur le serveur SSH<pre>scp /tmp/krb5.keytab server.dnsdynamic.net:/etc/krb5.keytab</pre>
	# On copie le fichier de configuration Kerberos sur le serveur SSH<pre>scp /etc/krb5.conf server.dnsdynamic.net:/etc/krb5.conf</pre>		# On copie le fichier de configuration Kerberos sur le serveur SSH<pre>scp /etc/krb5.conf server.dnsdynamic.net:/etc/krb5.conf</pre>

			Depuis le serveur SSH
			* On lui spécifie explicitement le propriétaire/groupe de l'export du principal<pre>chown root:root /etc/krb5.keytab</pre>
			* On lui spécifie les droits associés<pre>chmod 600 /etc/krb5.keytab</pre>

	Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste		Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste

Didier : /* Client SSH */

2015-04-10T07:16:51Z

Client SSH

← Version précédente		Version du 10 avril 2015 à 07:16
Ligne 281 :		Ligne 281 :

	=== Client SSH ===		=== Client SSH ===

			Comme SSH utilise PAM par défaut, le paquet <package>pam_krb5</package> doit être [[#Connexion_locale_.28PAM.29\|installé et activé]].

			Pour chaque serveur SSH devant être géré par kerberos
			# On créé un principal <nowiki>host/<FQDN></nowiki><pre>kadmin.local -q "addprinc -randkey host/server.dnsdynamic.net"</pre>
			# On s'assure que le fichier d'export n'existe pas encore<pre>rm -f /tmp/krb5.keytab</pre>
			# On exporte ce principal (et uniquement lui pour des raisons de sécurité)<pre>kadmin.local -q "ktadd -k /tmp/krb5.keytab host/server.dnsdynamic.net"</pre>
			# On copie ce principal sur le serveur SSH<pre>scp /tmp/krb5.keytab server.dnsdynamic.net:/etc/krb5.keytab</pre>
			# On copie le fichier de configuration Kerberos sur le serveur SSH<pre>scp /etc/krb5.conf server.dnsdynamic.net:/etc/krb5.conf</pre>

	Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste		Avant de le fixer dans le fichier /etc/ssh/ssh_config, on teste
	* On acquiert un jeton kerberos<pre>kinit ~~didier~~</pre>		# On acquiert un jeton kerberos<pre>kinit root</pre>
	* On se connecte par ssh en forçant l'option ~~_GSSAPIAuthentication_~~<pre>ssh ~~didier~~@~~kerbtest2.didier~~.dnsdynamic.net -o "GSSAPIAuthentication yes"</pre>		# On se connecte par ssh en forçant l'option ''GSSAPIAuthentication''<pre>ssh root@server.dnsdynamic.net -o "GSSAPIAuthentication yes"</pre>
	* Si la connexion est un succès, on vérifie que le fichier /etc/ssh/ssh_config contient bien<pre>GSSAPIAuthentication yes</pre>		# Si la connexion est un succès, on vérifie que le fichier <path>/etc/ssh/ssh_config</path> contient bien
			#* <pre>GSSAPIAuthentication yes</pre>
	~~A noter que seul l~~'utilisateur ~~didier peut~~ se connecter avec ~~kerberos (aucun autre utilisateur n~~'~~est connu de kerberos)~~		#* <pre>GSSAPIDelegateCredentials yes</pre>
			{{Admon/tip\|Utilisateurs pouvant se connecter au serveur\|Seul les utilisateurs ayant un '''principal Kerberos''' et ayant un '''compte utilisateur sur le serveur''' peuvent se connecter en SSH avec la méthode ''gssapi-with-mic''.}}

	=== Authentification Apache ===		=== Authentification Apache ===

Didier : /* Connexion locale (pam) */

2015-04-10T06:57:07Z

Connexion locale (pam)

← Version précédente		Version du 10 avril 2015 à 06:57
Ligne 272 :		Ligne 272 :
	</pre>		</pre>

	=== Connexion locale (~~pam~~) ===		=== Connexion locale (PAM) ===

			Installation du <class>PAM</class> (Pluggable Authentication Modules) <class>Kerberos</class> et activation.
	<pre>		<pre>
	yum install pam_krb5		yum install pam_krb5

Services/Kerberos/Install - Historique des versions

Didier le 18 avril 2015 à 16:09

Didier : /* Client SSH */

Didier : /* Test de connexion */

Didier : /* Test de connexion */

Didier : /* Tests */

Didier : /* Tests */

Didier : /* Client SSH */

Didier : /* Client SSH */

Didier : /* Client SSH */

Didier : /* Connexion locale (pam) */

Didier : /* Client SSH */

Didier : /* Test de connexion */

Didier : /* Test de connexion */

Didier : /* Tests */

Didier : /* Tests */

Didier : /* Client SSH */

Didier : /* Client SSH */

Didier : /* Client SSH */

Didier : /* Connexion locale (pam) */