Authentification SSH à laide de gssapi-keyex ou gssapi-with-mic (publickey non autorisé)

Peut-être.

• Pouvez-vous obtenir un ticket pour votre mandant sur votre système client dans le cadre du processus de connexion standard ou manuellement (kinit, MIT Kerberos pour Windows)?
• Le serveur a-t-il un principal Kerberos ou pouvez-vous lui en donner un? Elle doit être de la forme host/[email protected].
• Lauthentification GSSAPI est-elle activée sur votre client?
• Votre client sait-il à quel domaine appartient le serveur soit par enregistrement de ressource DNS TXT ou par mappage local?

Si vous avez répondu « oui » à all de ce qui précède, alors félicitations, vous pouvez utiliser GSSAPIAuthentication.

• Vous pouvez doivent également activer la délégation des informations didentification, en fonction de votre configuration.

Étapes du test:
(En supposant: domain = example.com; realm = EXAMPLE.COM)

1. kinit [email protected]
   • Dans lidéal, cela est géré par votre processus de connexion standard en incluant soit pam_krb5 soit pam_sss (avec auth_provider = krb5) dans le pam stack approprié.
2. kvno host/[email protected]
   • Il sagit dune étape de débogage. ssh le fait automatiquement si vous avez un cache valide et que vous parlez à un sshd qui prend en charge gssapi-with-mic ou gssapi-keyex.
3. dig _kerberos.example.com txt doit renvoyer "EXAMPLE.COM"
   • Sinon, le mappage peut être stocké dans la section [domain_realm] de /etc/krb5.conf comme .example.com = EXAMPLE.COM, mais la méthode dns évolue beaucoup mieux.
4. ssh -o GSSAPIAuthentication=yes [email protected]
   • Pour vous connecter à un nom dutilisateur autre que celui de votre mandant sur le serveur, il faudra savoir le mapper les détails dont je ne rentre pas ici.

Commentaires

• Bonjour. Je vous ai donné +1 il y a quelque temps, mais en fait, je ne le fais pas savoir comment vérifier vos quatre points. (Je ne suis pas un administrateur, juste un développeur). Veuillez fournir une ligne de commande pour vérifier la connexion SSH en utilisant g gssapiauthentication? Peut-être que je peux aussi utiliser gssapiauthentication sur ma machine Linux. (devrais-je utiliser kinit pour cela?) Cheers;)

La méthode en 4 étapes est correcte (il existe également des enregistrements Kerberos SRV dans DNS qui sont encore plus élégants et sont présents dans chaque Active Directory). Jutilise cela tout le temps et je préconise cela ci-dessus pour des méthodes pubkey, principalement pour des raisons de sécurité et de contrôle.

Cela dit, cela ne donne quune connexion interactive, même si cela peut être quasi-interactif une fois que vous avez obtenu un ticket sur votre poste de travail.Le ticket Kerberos agit un peu comme lagent SSH; une fois que vous lavez, les nouvelles connexions sont instantanées et sans mot de passe; mais avec une limite de temps.

Pour obtenir une connexion par lots interactive, vous devez obtenir un fichier keytab, un fichier qui contient essentiellement le mot de passe dun compte Kerberos, un peu comme la moitié privée dune clé SSH. Selon les précautions de sécurité sappliquent; dautant plus que le keytab nest ni chiffré ni protégé par un mot de passe.

Je suis assez réticent à fournir à mes utilisateurs leurs keytabs pour leurs comptes personnels, mais jutilise de manière agressive des comptes de service avec des autorisations minimales pour divers travaux par lots, en particulier lorsquil est essentiel que les informations didentification soient déléguées à la télécommande système, quelque chose de pubkey ne peut tout simplement pas réaliser.

Les keytabs peuvent être créés en utilisant ktutil sous Unix ou KTPASS.EXE sous Windows (ce dernier à partir des services AD Kerberos). Notez que ktutil existe en deux versions, Heimdal et MIT, et leur syntaxe diffère. La lecture de la page de manuel sur un système pertinent est utile.