Translations by Stéphane V

Pour que les clients puissent déterminer le KDC pour le Domaine, des entrées DNS SRV sont requises. Ajoutez ce qui suit à <filename>/etc/named/db.example.com</filename> :

Pour que les clients déterminent le KDC du domaine, quelques enregistrements DNS SRV sont nécessaires. Ajoutez ce qui suit à <filename>/etc/named/db.example.com</filename> :

Remplacer <emphasis>EXAMPLE.COM</emphasis>, <emphasis>kdc01</emphasis>, et <emphasis>kdc02</emphasis> avec votre nom de domaine, de serveur KDC primaire et secondaire.

Voyez <xref linkend="dns"/> pour des instructions détaillées sur le paramétrage des DNS.

Votre nouveau domaine Kerberos est maintenant prêt à authentifier des clients.

Une fois que vous avez un KDC (Key Distribution Center) opérationnel sur votre réseau, il est habituel de créer un KDC secondaire au cas où le premier deviendrait indisponible.

Premièrement, installez les paquets, et lors de la demande des noms de serveurs Kerberos et Admin, entrez le nom du premier serveur KDC.

Une fois les paquets installés, créez un hôte KDC secondaire. Dans un terminal, saisissez :

Une fois les paquets installées, créez le second hôte KDC principal. Dans un terminal, saisissez :

Ensuite, l'exécution de n'importe quelle commande <application>kadmin</application> nécessitera l'introduction du mot de passe principal de <emphasis>username/admin@EXAMPLE.COM</emphasis>.

Si le chemin vers le fichier <filename>keytab.kdc02</filename> est différent, adaptez le en conséquence.

Vous pouvez également lister les principales dans un fichier Keytab à l'aide de <application>klist</application>, ce qui peut être utile au dépannage :

Ensuite, il doit exister un fichier <filename>kpropd.acl</filename> sur chaque KDC qui liste tous les KDC du domaine. Par exemple, sur les serveurs primaire et seondaire, créez le fichier <filename>/etc/krb5kdc/kpropd.acl</filename> :

Créez une banque de données vide pour le <emphasis>KDC secondaire</emphasis> :

Maintenant, démarrez le service <application>kpropd</application>, qui écoute les connexions depuis l'utilitaire <application>kprop</application>. <application>kprop</application> est utilisé pour transférer des fichiers de sauvegarde :

Depuis un terminal sur le <emphasis>KDC primaire</emphasis>, créez un fichier de sauvegarde de la banque de données principale :

L'utilitaire <application>kprop</application> envoie la banque de données vers le serveur KDC secondaire :

Vous pouvez également créer un job <application>cron</application> pour mettre à jour la banque de données périodiquement sur le KDC secondaire. Par exemple, ceci va transférer la banque de données toutes les heures :

De retour sur le <emphasis>KDC secondaire</emphasis>, créez un fichier <emphasis>stash</emphasis> pour contenir la clé maître de Kerberos :

Le <emphasis>KDC secondaire</emphasis> devrait maintenant être capable d'émettre des tickets pour le Domaine. Vous pouvez tester ceci en stoppant le service <application>krb5-kdc</application> sur le KDC primaire, puis en utilisant <application>kinit</application> pour demander un ticket. Si tout va bien, vous devriez recevoir un ticket du KDC secondaire.

Cette section couvre la configuration d'un système Linux comme un client <application>Kerberos</application>. Ceci va autoriser l'accès à n'importe quel service kerberisé une fois l'utilisateur correctement connecté au système.

Pour être authentifié à un Domaine Kerberos, les paquets <application>krb5-user</application> et <application>libpam-krb5</application> sont requis, ainsi que quelques autres qui ne sont pas nécessaires mais rendent la vie plus simple. Pour installer les paquets tapez la commande suivante dans un terminal :

Le paquet <application>auth-client-config</application> permet la configuration simplifiée de PAM pour l'identification depuis plusieurs sources, et <application>libpam-ccreds</application> va mettre en cache les références de l'identification pour vous permettre de vous connecter si le KDC (Key Distribution Center) n'est pas disponible. Ce paquet est également utile pour les portables qui s'identifient via Kerberos sur leur réseau professionnel, mais doivent également rester accessibles en dehors ce réseau.