Kerberos基础之krb5.conf详解

一、Kerberos认证协议简介

Kerberos协议是一种网络认证协议，用于提供强身份验证和访问控制机制。它使用密钥加密技术来保护通信过程中的用户和服务器之间数据的机密性，并且在网络上可靠性较高。Kerberos协议被广泛用于企业环境中，比如Linux系统集成和Windows域网络之间的互操作。

二、krb5.conf文件的基本概念

krb5.conf是Kerberos认证环境下的配置文件，用于指定Kerberos客户端与服务器之间的连接方式和安全性参数，同时也负责指定各Kerberos组件的位置。krb5.conf在Linux与Unix环境下一般存放在/etc目录下，也可以指定其他路径。

在一个Kerberos认证环境中，krb5.conf通常包含如下基本配置信息：

  [libdefaults]
     default_realm = EXAMPLE.COM
     dns_lookup_realm = false
     dns_lookup_kdc = false
     ticket_lifetime = 24h
     renew_lifetime = 7d
     forwardable = true
  [realms]
     EXAMPLE.COM = {
        kdc = kdc.example.com
        admin_server = kdc.example.com
     }
  [domain_realm]
     .example.com = EXAMPLE.COM
     example.com = EXAMPLE.COM

三、krb5.conf配置文件的基本结构

krb5.conf的基本结构包含3个部分，分别是:

libdefaults,

realms和

domain_realm。其中，

libdefaults负责指定系统中默认的参数。例如这里指定默认的认证领域EXAMPLE.COM、默认的票据生存周期24h以及默认授权方式forwardable。

realms指定Kerberos认证领域，其主要负责Kerberos服务器和Kerberos客户端之间的认证握手。例如这里指定了EXAMPLE.COM领域下的Kerberos服务器地址为kdc.example.com。

domain_realm部分则用于将DNS域名映射到Kerberos领域。例如，.example.com指向EXAMPLE.COM认证领域。

四、krb5.conf配置文件的常见参数

在以上各部分中，krb5.conf涉及的常见参数包括：

default_realm:默认的认证领域。

ticket_lifetime:票据生存周期，指客户端在不使用票据的情况下的过期时间。

renew_lifetime：可续期票据的生存周期。

forwardable：是否允许将票据转发给第三方。

dns_lookup_realm：是否使用DNS解析认证领域。

dns_lookup_kdc：是否使用DNS解析KDC地址。

krb4_get_tickets: 指定是否支持Kerberos 4票据。

五、krb5.conf的高级配置

在实际的Kerberos环境中，krb5.conf的高级配置也非常重要。

例如，我们使用kadmin.local命令来管理Kerberos用户账号，其中需要去krb5.conf文件中读取admin_server参数。如果没有配置admin_server参数，则kadmin.local无法正常工作。

又例如，krb5.conf内设定的默认值会被Kerberos客户端缓存，如果需要应用改动，必须清除缓存。

$ kdestroy
$ rm $KRB5CCNAME
$ kinit [user]

六、小结

krb5.conf是Kerberos安全认证中非常重要的一个组件，它负责配置Kerberos客户端与Kerberos服务器之间的认证参数和安全性选项，同时也配置了许多其他重要参数。了解krb5.conf配置文件的各部分及常用配置参数，对于建立高效、安全的Kerberos认证环境是非常重要的。