全文搞定：Kerberos概述、源码编译、安装、配置详解：《九九免费视频》

概述众所周知，互联网很不安全，互联网上使用的许多协议都不能提供任何安全性保证。

因此，通过网络发送未加密密码的应用程序极易受到攻击。

这种不安全问题，不是防火墙能够解决的。

为解决这类网络安全问题，Kerberos协议应运而生。

Kerberos是一种网络身份验证协议，通过使用强大的密钥加密技术，为客户端/服务端通信提供强大的身份验证功能，客户端与服务端可以基于不安全的网络建立连接，相互进行身份验证。

甚至，还可以对通信内容进行加密，以确保数据的隐私和完整性。

麻省理工学院提供Kerberos协议的开源实现-MITKerberos，任何希望使用它的人都可以自己查看代码，并确保代码是可信的，也可以直接应用于商业产品中。

总之，Kerberos是网络安全问题的解决方案。

它通过网络提供身份验证和强大的加密工具，以帮助企业保护内部信息系统。

可以说，Kerberos对信息/技术体系结构来说是无价的。

Yum安装Kerberos服务端节点[root@felixzh1home]#yuminstall-ykrb5-serverkrb5-libskrb5-workstationKerberos客户端节点[root@felixzh2~]#yuminstall-ykrb5-develkrb5-workstation配置文件-krb5.conf适用于客户端和服务端上使用Kerboros的所有应用程序。

默认安装位置/etc/krb5.conf，可以使用环境变量KRB5_CONFIG指定。

通常包含如下节点(也可以包含kdc.conf中的节点，但不推荐这么玩)：说明：节点参数太多，这里就不一一介绍，详细可以查阅官网:#sections默认安装，krb5.conf文件内容如下:官网示例如下：[libdefaults]default_realm=ATHENA.MIT.EDUdns_lookup_kdc=truedns_lookup_realm=false[realms]ATHENA.MIT.EDU={kdc=kerberos.mit.edukdc=kerberos-1.mit.edukdc=kerberos-2.mit.eduadmin_server=kerberos.mit.eduprimary_kdc=kerberos.mit.edu}EXAMPLE.COM={kdc=kerberos.example.comkdc=kerberos-1.example.comadmin_server=kerberos.example.com}[domain_realm]mit.edu=ATHENA.MIT.EDU[capaths]ATHENA.MIT.EDU={EXAMPLE.COM=.}EXAMPLE.COM={ATHENA.MIT.EDU=.}配置文件-kdc.confkdc.conf对krb5.conf进行补充，通常仅适用于kdc特定进程(krb5kdc、kadmind、kdb5_util)。

此时，krb5.conf和kdc.conf将被合并到一个单独的配置文件中使用。

注意：修改kdc.conf文件，需要重启kdc特定进程，才能生效。

默认安装位置/var/kerberos/krb5kdc/kdc.conf，可以使用环境变量KRB5_KDC_PROFILE指定。

通常包含如下节点：#sections默认安装，kdc.conf文件内容如下:官网示例如下：[kdcdefaults]kdc_listen=88kdc_tcp_listen=88[realms]ATHENA.MIT.EDU={kadmind_port=749max_life=12h0m0smax_renewable_life=7d0h0m0smaster_key_type=aes256-cts-hmac-sha1-96supported_enctypes=aes256-cts-hmac-sha1-96:normalaes128-cts-hmac-sha1-96:normaldatabase_module=openldap_ldapconf}[logging]kdc=FILE:/usr/local/var/krb5kdc/kdc.logadmin_server=FILE:/usr/local/var/krb5kdc/kadmin.log[dbdefaults]ldap_kerberos_container_dn=cn=krbcontainer,dc=mit,dc=edu[dbmodules]openldap_ldapconf={db_library=kldapdisable_last_success=trueldap_kdc_dn=cn=krbadmin,dc=mit,dc=edu#thisobjectneedstohavereadrightson#therealmcontainerandprincipalsubtreesldap_kadmind_dn=cn=krbadmin,dc=mit,dc=edu#thisobjectneedstohavereadandwriterightson#therealmcontainerandprincipalsubtreesldap_service_password_file=/etc/kerberos/service.keyfileldap_servers=ldaps://kerberos.mit.eduldap_conns_per_server=5}配置文件-kadm5.aclKerberoskadmind进程利用ACL文件(即kadm5.acl)进行Kerberos数据库的权限管理。

对于影响principals的操作，kadm5.acl可以精确控制到每个principals。

默认安装位置/var/kerberos/krb5kdc/kadm5.acl，可以使用kdc.conf中realms节点中的acl_file参数指定。

注意：修改kadm5.acl文件，需要重启kadmind进程，才能生效。

语法：principalpermissions[target_principal[restrictions]]注意：以行为单位设置，优先级由上到下，越来越低。

principalpermissions为必选项，[target_principal[restrictions]]为可选项。

其中，permissions详细参数项如下：#syntax默认安装，kadm5.acl文件内容如下：官网示例如下：*/admin@ATHENA.MIT.EDU*#line1joeadmin@ATHENA.MIT.EDUADMCIL#line2joeadmin/*@ATHENA.MIT.EDUi*/root@ATHENA.MIT.EDU#line3*/root@ATHENA.MIT.EDUci*1@ATHENA.MIT.EDU#line4*/root@ATHENA.MIT.EDUl*#line5sms@ATHENA.MIT.EDUx*-maxlife9h-postdateable#line6Realm配置决策在安装KerberosV5之前，有必要考虑以下问题：确认Kerberosrealm的名称（或者需要多个realm时每个realm的名称）。

确认如何将hostnames分配给Kerberosrealms。

KDC（defaultport:88）进程和kadmind（defaultport:749）进程是否使用默认端口。

确认需要多少replicaKDCs以及如何部署。

确认主KDC和副本KDC的主机名。

将数据库从主KDC传播到副本KDC的频率。

#realm-configuration-decisions源码编译当前最新版本为1.19.2。

[root@felixzh1home]#yuminstallbyaccflexbison[root@felixzh1home]#wget[root@felixzh1home]#cdkrb5-1.19.2/src/[root@felixzh1src]#./configure[root@felixzh1src]#make-j8[root@felixzh1src]#makeinstall