kerberos详解

news2025/3/5 0:17:30

一、介绍

kerberos概述

Kerberos始于20世纪80年代早期麻省理工学院（MIT）的一个研究项目，是一个网络身份验证系统。Kerberos提供的完整定义是安全的、单点登录的、可信的第三方相互身份验证服务。

认证过程

image.png

相关概念

  1. KDC（key Distribution Center）：密钥分发中心，是统一认证服务，负责管理发放票据，记录授权。
  2. KDC Server：作为密钥分发中心（KDC）的计算机或服务器。
  3. KDC Client：集群中针对KDC进行身份验证的任何计算机。
  4. Realm：kerberos管理的领域的标识。
  5. Principal：用于验证一个用户或者服务的唯一标识，相当于一个账号，需要为其设置密码。

Principal的形式为：主名称/实例名@领域名。
主名称可以是用户名或者服务名，标识用于提供各种网络服务（比如hdfs、hive）；
实例名，对于用户主体，实例名是可选的，对于服务主体，实例则是必须的。
image.png

二、安装

安装server端

只需要在一台服务器上安装，如果提示没权限使用sudo安装

yum -y install krb5-libs krb5-workstation krb5-server

安装客户端

集群中每台节点都必须要安装客户端，如果提示没权限使用sudo安装

yum -y install krb5-libs krb5-workstation

配置

更改KDC配置文件

默认路径：/var/kerberos/krb5kdc/

sudo vi /var/kerberos/krb5kdc/kdc.conf

默认配置文件：

[kdcdefaults]
 kdc_ports = 88 # kdc 端口
 kdc_tcp_ports = 88 #kdc通信端口

[realms]
 EXAMPLE.COM = {
  #master_key_type = aes256-cts
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

修改后的配置文件：

[kdcdefaults]
 kdc_ports = 88 # kdc 端口
 kdc_tcp_ports = 88 #kdc通信端口

[realms]
 HADOOP.COM = {
  #master_key_type = aes256-cts
  max_renewable_life = 7d 0h 0m 0s
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

说明：
EXAMPLE.COM：自己设定的域，一般为了识别使用大写；
max_renewable_life：是否能进行ticket的renew，也就是票据刷新；
master_key_type：和supported_enctypes默认使用aes256-cts。由于，JAVA使用aes256-cts验证方式需要安装额外的jar包，更多参考2.2.9关于AES-256加密，推荐不使用。
acl_file：标注了admin的权限，格式如下：
Kerberos_principal permissions [target_principal] [restrictions]支持通配符等。
admin_keytab：KDC进行校验的keytab；
supported_enctypes：支持的校验方式；aes256-cts要去掉；

更改krb5.conf

默认路径为：/etc/krb5.conf
默认配置文件：

# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
# default_realm = EXAMPLE.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
# EXAMPLE.COM = {
#  kdc = kerberos.example.com
#  admin_server = kerberos.example.com
# }

[domain_realm]
# .example.com = EXAMPLE.COM
# example.com = EXAMPLE.COM

修改后的配置文件：

# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/

[logging] # 日志模块
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
 default_realm = HADOOP.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 HADOOP.COM = {
  kdc = hadoop162
  admin_server = hadoop162
 }

[domain_realm]
 .hadoop.com = HADOOP.COM
 hadoop.com = HADOOP.COM

文件说明：
[logging]：表示日志存储位置
[libdefaults]：每种连接的配置
default_realm：默认的realm，必须和配置的realm一致；
udp_preference_limit = 1 ：禁止使用udp可以防止一个Hadoop中的错误；
ticket_lifetime：凭证有效时间，一般为24小时；
renew_lifetime：凭证最长可以被延期的时限，一般为一周，凭证过期后对安全认证的服务访问会失败；
kdc：代表要kdc的位置。格式是 机器:端口；
admin_server：代表admin的位置。格式是机器:端口；
default_domain：代表默认的域名；

更改完成后将krb5.conf同步到其他节点

xsync /etc/krb5.conf

kadm5.acl

默认位置：/var/kerberos/krb5kdc/kadm5.acl

*/admin@EXAMPLE.COM     *

说明：
/admin代表admin实例的全部用户主体
HADOOP.COM代表领域
最后一个代表所有权限
这里授权的意思就是admin实例的全部主体拥有HADOOP.COM领域的所有权限

创建kerberos数据库

在服务端对数据库进行初始化，默认的数据库路径为：/var/kerberos/krb5kdc；需要设置初始化密码；

kdb5_util create -r HADOOP.COM -s

image.png
说明：
-r：指定一个realm_name，当krb5.conf配置多个realm时使用；
-s：表示生成 stash file ，并在其中存储master server key（krb5kdc）；
创建成功后在/var/kerberos/krb5kdc可以看到生成的相关principal文件：
image.png

启动kerberos

启动服务命令
systemctl start krb5kdc
systemctl start kadmin

服务对应的日志文件:
/var/log/krb5kdc.log
/var/log/kadmind.log

设置开机自启
systemctl enable krb5kdc
systemctl enable kadmin

kerberos操作

创建管理员

kadmin.local -q "addprinc admin/admin"

image.png
kadmin.local需在server端即KDC所在服务器执行
也可以在server端执行kadmin.local命令先登陆kerberos数据库，下图是支持的操作：
image.png

其它操作

创建用户
kadmin.local -q "addprinc test"
为新用户生成keytab文件
kadmin.local -q "xst -norandkey -k etc/test.keytab test"
# 或
kadmin.local -q "ktadd -norandkey -k /etc/test.keytab test"

[-norandkey] 表示创建keytab时，principal的密码不发生改变。如果不使用该参数，直接ktadd -k则会修改principal的密码。

查看keytab文件
klist -kte /etc/test.keytab
认证用户
kinit -kt /etc/test.keytab test
# 或者
kinit test
查看认证缓存（当前认证的用户）
klist -e

image.png
[-e] 查看当前kerberos账号的加密方式

退出当前认证的用户
kdestroy
查看所有principal主体
kadmin.local -q "list_principals"

也可以用kadmin然后输入admin管理员密码，然后list_principals

删除principal主体
kadmin.local -q "delete_principal test"

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1277714.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

GD32 定时器输入捕获模式测量PWM占空比和频率

GD32 定时器输入捕获模式测量PWM占空比和频率

简介 利用GD32 定时器的PWM输入捕获模式来实现PWM波形的占空比和频率的测量。相应的简介可以参考GD32用户手册中关于定时器输入捕获的章节，PWM输入捕获模式是输入捕获模式的一个特例。(记录自己学习过程，如有错误请留言指出) 原理 如何利用定时器测量…
阅读更多...
JavaSE-习题-循环结构等

JavaSE-习题-循环结构等

第 1 题（编程题） 题目名称： 打印 X 图形 题目内容： https://www.nowcoder.com/practice/83d6afe3018e44539c51265165806ee4 假设i代表行，j代表列，当ij 或者 ij1 n，此时为星号。其余的都是空格。…
阅读更多...
杨志丰：OceanBase助力企业应对数据库转型深水区挑战

杨志丰：OceanBase助力企业应对数据库转型深水区挑战

11 月 16 日，OceanBase 在北京顺利举办 2023 年度发布会，正式宣布：将持续践行“一体化”产品战略，为关键业务负载打造一体化数据库。OceanBase 产品总经理杨志丰发表了《助力企业应对数据库转型深水区挑战》主题演讲。 以下为演讲…
阅读更多...
SmartSoftHelp8，SQL语句美化，格式化，压缩

SmartSoftHelp8，SQL语句美化，格式化，压缩

SQL语句美化，格式化，压缩 下载地址：https://pan.baidu.com/s/1zBgeYsqWnSlNgiKPR2lUYg?pwd8888
阅读更多...
在oracle中的scn技术

在oracle中的scn技术

SCN可以说是Oracle中一个很基础的部分，但同时它也是一个很重要的。它是系统中维持数据的一致性和顺序恢复的重要标志，是数据库非常重要的一种数据结构。 转载：深入剖析 - Oracle SCN机制详细解读 - 知乎 (zhihu.com)https://zhuanlan.zhihu.…
阅读更多...
【计算机概论 ①】- 电脑：辅助人脑的好工具

【计算机概论 ①】- 电脑：辅助人脑的好工具

目录 一、电脑硬件的五大单元 二、一切设计的起点：CPU 的架构 三、其他单元的设备 四、运行流程 五、电脑的分类 六、电脑上面常用的计算单位（容量、速度等） 操作系统跟硬件有相当程度的关联性，所以，如果不了解一…
阅读更多...
详解原生Spring框架下的类切入点表达式与切入点函数

详解原生Spring框架下的类切入点表达式与切入点函数

😉😉 学习交流群： ✅✅1：这是孙哥suns给大家的福利！ ✨✨2：我们免费分享Netty、Dubbo、k8s、Mybatis、Spring...应用和源码级别的视频资料 🥭🥭3：QQ群：583783…
阅读更多...
汉威科技家电传感器解决方案，助力智能家电市场蓬勃发展

汉威科技家电传感器解决方案，助力智能家电市场蓬勃发展

2017年以来，我国家电市场承压前行，零售总额基本保持在9000亿元左右，虽然距离万亿市场只有一步之遥，却一直未能企及。随着物联网、传感器、AI、云计算、大数据、5G等技术的快速发展迭代，智能家电成为行业转型发展的突破…
阅读更多...
C语言结构体详解（一）（能看懂文字就能明白系列）

C语言结构体详解（一）（能看懂文字就能明白系列）

🌟🌟🌟🌟🌟🌟🌟🌟🌟🌟🌟个人主页： 古德猫宁- 🌟🌟🌟🌟🌟🌟…
阅读更多...
re:Invent大会，亚马逊云科技为用户提供端到端的AI服务

re:Invent大会，亚马逊云科技为用户提供端到端的AI服务

11月末，若是你降落在拉斯维加斯麦卡伦国际机场，或许会在大厅里看到一排排AI企业和云厂商相关的夸张标语。走向出口的路上，你的身边会不断穿梭过穿着印有“AI21Lab”“Anthropic”等字样的AI企业员工。或许，你还会被机场工作人员主…
阅读更多...
6大关键词：尝新/随心/低忠诚···，全面解读食品饮料行业发展趋势与消费者洞察｜徐礼昭

6大关键词：尝新/随心/低忠诚···，全面解读食品饮料行业发展趋势与消费者洞察｜徐礼昭

内容：重构零售实验室&商派 《2023食品饮料行业零售数字化洞察报告》节选 作者：徐礼昭（商派市场负责人，重构零售实验室负责人） 如今品牌的影响力不再止于资本与业绩数字，更多是在产品核心价值以及消费…
阅读更多...
Django HMAC 请求签名校验与 Vue.js 实现安全通信

Django HMAC 请求签名校验与 Vue.js 实现安全通信

概要 在 Web 应用的开发过程中，确保数据传输的安全性和完整性是一个不容忽视的问题。使用 HMAC（Hash-based Message Authentication Code）算法对请求内容进行签名校验，是一种常见且有效的安全策略。本文将详细介绍如何在 Django …
阅读更多...
Git 简介及异常场景处理

Git 简介及异常场景处理

一、简介 介绍Git之前，还得先介绍下 版本控制系统（VCS）， 和它的发展历史 纵观版本控制系统的发展历史，广义上讲，版本控制工具的历史可以分为三代： 第一代 第一代版本控制系统被称为本地版本控…
阅读更多...
组合（回溯+剪枝、图解）

组合（回溯+剪枝、图解）

77. 组合 - 力扣（LeetCode） 题目描述 给定两个整数 n 和 k，返回范围 [1, n] 中所有可能的 k 个数的组合。 你可以按 任何顺序 返回答案。 样例输入 示例 1： 输入：n 4, k 2 输出： [[2,4],[3,4],[2,3],…
阅读更多...
LORA概述: 大语言模型的低阶适应

LORA概述: 大语言模型的低阶适应

LORA概述: 大语言模型的低阶适应 LORA: 大语言模型的低阶适应前言摘要论文十问实验RoBERTaDeBERTaGPT-2GPT-3 结论代码调用 LORA: 大语言模型的低阶适应 前言 LoRA的核心思想在于优化预训练语言模型的微调过程，通过有效地处理权重矩阵的变化（即梯度更新…
阅读更多...
Docker中部署并启动RabbitMQ

Docker中部署并启动RabbitMQ

目的 由于最近频繁更换云服务器，导致环境啥的都需要重新配置，关于RabbitMQ，我在看其他博主的文章时，总是不能第一时间找到想要的配置方法（也不是没有，只是花的时间太久），于是打算自己…
阅读更多...
接口响应时长几十秒问题排查以及解决

接口响应时长几十秒问题排查以及解决

目录 背景 解决方案 总结 背景 线上系统运行几年后，被项目上提bug，有些接口响应很慢，加载页面要几十秒 解决方案 1、步骤一，加索引 性能优化成本高，需要开发周期，临时方案先分析慢sql，通过增…
阅读更多...
C语言——深入理解指针（4）

C语言——深入理解指针（4）

目录 1.回调函数 2. qsort 函数的使用 2.1 排序整型数据 2.2 排序结构体数据 3. qsort 函数的模拟实现 1.回调函数 回调函数就是通过一个函数指针调用的函数。 你把函数的地址作为参数传递给另一个函数，当这个指针被用来调用其所指向的函数时，被调…
阅读更多...
Linux：查看端口占用的进程

Linux：查看端口占用的进程

命令 netstat -tunlp可以从图中看到，端口被那个进程占用，对应进程的pid是多少。
阅读更多...
软件测试工程师如何面试？

软件测试工程师如何面试？

首先作为HR的角度： 一般我们面试的时候都会问应聘者一些问题，但是问什么？怎么问？每个HR都会有不同的做法。 有的HR问的比较广泛，有的HR比较注重专业度，还有的HR喜欢问一些开放性的问题，没有标…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023