CentOS Krb5：配置与优化指南

什么是Krb5？

Kerberos（Krb5）是一种网络认证协议，用于在网络环境中提供强大的认证服务，它通过密钥交换和加密技术，确保用户在访问网络资源时的安全性和隐私性，在CentOS系统中,Krb5主要用于实现单点登录和多因素认证等功能。

CentOS安装Krb5

安装Krb5

在CentOS系统中,可以使用以下命令安装Krb5：

sudo yum install krb5-server krb5-workstation krb5-libs krb5-admin-server krb5-kdc

配置Krb5

（1）编辑krb5.conf文件

sudo vi /etc/krb5.conf

添加到文件中：

[logging]
 default = FILE:/var/log/krb5libs.log
[libdefaults]
 default_realm = YOUR_REALM
 default_domain = YOUR_DOMAIN
 dns_lookup_realm = false
 dns_lookup_kdc = false
 kdc_times_to_retry = 5
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 renewable = true
 randoftime = 2d
 permitted_enctypes = des-cbc-crc,des-cbc-md5,des-cbc-crc,des-cbc-md5,des-cbc-crc,des-cbc-md5
[realms]
 YOUR_REALM = {
  kdc = YOUR_KDC
  admin_server = YOUR_ADMIN_SERVER
 }
[domain_realm]
 .YOUR_DOMAIN = YOUR_REALM
 YOUR_DOMAIN = YOUR_REALM

将YOUR_REALM、YOUR_DOMAIN、YOUR_KDC和YOUR_ADMIN_SERVER替换为实际值。

（2）编辑krb5-kdc.conf文件

sudo vi /var/krb5kdc/kdc.conf

添加到文件中：

[realms]
 YOUR_REALM = {
  kdc = YOUR_KDC
  admin_server = YOUR_ADMIN_SERVER
 }
[domain_realm]
 .YOUR_DOMAIN = YOUR_REALM
 YOUR_DOMAIN = YOUR_REALM
[roots]
 default_keytab = /etc/krb5kdc/krb5kdc.keytab
 default_admin_keytab = /etc/krb5kdc/krb5kdc-admin.keytab
 default_tgs_keytab = /etc/krb5kdc/krb5kdc-tgs.keytab
 default_kdc_keytab = /etc/krb5kdc/krb5kdc-kdc.keytab
 default_realm = YOUR_REALM
 default_domain = YOUR_DOMAIN

将YOUR_REALM、YOUR_DOMAIN、YOUR_KDC和YOUR_ADMIN_SERVER替换为实际值。

启动Krb5服务

启动Krb5 KDC服务

sudo systemctl start krb5kdc
sudo systemctl enable krb5kdc

启动Krb5 Kadmin服务

sudo systemctl start krb5-admin-server
sudo systemctl enable krb5-admin-server

Krb5优化

优化Krb5配置文件

（1）编辑krb5.conf文件

sudo vi /etc/krb5.conf

添加到文件中：

[logging]
 default = FILE:/var/log/krb5libs.log
[libdefaults]
 default_realm = YOUR_REALM
 default_domain = YOUR_DOMAIN
 dns_lookup_realm = false
 dns_lookup_kdc = false
 kdc_times_to_retry = 5
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 renewable = true
 randoftime = 2d
 permitted_enctypes = aes256-cts-hmac-sha256,aes128-cts-hmac-sha256,aes256-cts,crc,des-cbc-crc,des-cbc-md5,des-cbc-crc,des-cbc-md5
[realms]
 YOUR_REALM = {
  kdc = YOUR_KDC
  admin_server = YOUR_ADMIN_SERVER
 }
[domain_realm]
 .YOUR_DOMAIN = YOUR_REALM
 YOUR_DOMAIN = YOUR_REALM

将YOUR_REALM、YOUR_DOMAIN、YOUR_KDC和YOUR_ADMIN_SERVER替换为实际值。

（2）编辑krb5-kdc.conf文件

sudo vi /var/krb5kdc/kdc.conf

添加到文件中：

[realms]
 YOUR_REALM = {
  kdc = YOUR_KDC
  admin_server = YOUR_ADMIN_SERVER
 }
[domain_realm]
 .YOUR_DOMAIN = YOUR_REALM
 YOUR_DOMAIN = YOUR_REALM
[roots]
 default_keytab = /etc/krb5kdc/krb5kdc.keytab
 default_admin_keytab = /etc/krb5kdc/krb5kdc-admin.keytab
 default_tgs_keytab = /etc/krb5kdc/krb5kdc-tgs.keytab
 default_kdc_keytab = /etc/krb5kdc/krb5kdc-kdc.keytab
 default_realm = YOUR_REALM
 default_domain = YOUR_DOMAIN

将YOUR_REALM、YOUR_DOMAIN、YOUR_KDC和YOUR_ADMIN_SERVER替换为实际值。

重启Krb5服务

sudo systemctl restart krb5kdc
sudo systemctl restart krb5-admin-server

FAQs

问题：Krb5配置文件中的realms和domain_realm有什么区别？

解答：realms用于定义Kerberos域，而domain_realm用于将DNS域名映射到Kerberos域，在实际配置中,通常只需定义realms即可。

问题：如何查看Krb5的日志文件？

解答：Krb5的日志文件位于/var/log/krb5libs.log,可以使用以下命令查看日志文件：

sudo cat /var/log/krb5libs.log