Autentificare SSH utilizând gssapi-keyex sau gssapi-cu-microfon (publicickey nu este permis)

Poate.

• Puteți obține un bilet pentru principalul dvs. pe sistemul dvs. client fie ca parte a procesului de autentificare standard, fie manual (kinit, MIT Kerberos pentru Windows)?
• Serverul are un principal kerberos sau îi puteți da unul? Ar trebui să aibă forma host/[email protected].
• Autentificarea GSSAPI este activată pe clientul dvs.?
• Știe clientul cărui domeniu îi aparține serverul fie prin înregistrarea resurselor DNS TXT, fie prin maparea locală?

Dacă ați spus „da” la toate din cele de mai sus, apoi felicitări, puteți utiliza GSSAPIAuthentication.

• Puteți trebuie, de asemenea, să activați delegarea acreditării, în funcție de configurarea dvs.

Pași de testare:
(Presupunând: domeniu = exemplu.com; realm = EXAMPLE.COM)

1. kinit [email protected]
   • În mod ideal, acest lucru este gestionat de procesul dvs. standard de conectare, incluzând fie pam_krb5, fie pam_sss (cu auth_provider = krb5) în pam stack corespunzător.
2. kvno host/[email protected]
   • Acesta este un pas de depanare. ssh face acest lucru automat dacă aveți un cache valid și discutați cu un sshd care acceptă gssapi-with-mic sau gssapi-keyex.
3. dig _kerberos.example.com txt ar trebui să returneze "EXAMPLE.COM"
   • Alternativ, maparea ar putea fi stocată în secțiunea [domain_realm] din /etc/krb5.conf ca .example.com = EXAMPLE.COM, dar metoda dns este mult mai bună.
4. ssh -o GSSAPIAuthentication=yes [email protected]
   • Pentru a vă conecta la alt nume de utilizator decât cel al principalului dvs. de pe server, va trebui să știți să-l mapați cu detalii despre care eu nu intru aici.

Comentarii

• Bună. Ți-am dat +1 cu ceva timp în urmă, dar, de fapt, nu știu cum să vă verific cele patru puncte. (Nu sunt administrator, doar dezvoltator). Vă rugăm să puteți furniza o linie de comandă pentru a verifica conexiunea SSH g gssapiauthentication? Poate că pot folosi și gssapiauthentication pe mașina mea Linux. (ar trebui să folosesc kinit pentru asta?) Noroc;)

Metoda în 4 pași este corectă (există, de asemenea, înregistrări Kerberos SRV în DNS care sunt și mai elegante și sunt prezente în fiecare Active Directory). Folosesc acest lucru tot timpul și am susținut acest lucru mai sus metodele pubkey din, mai ales, motive legate de securitate și control.

Acestea fiind spuse, acest lucru oferă doar conectare interactivă, deși poate fi cvasi-interactivă după ce ați primit un bilet pe stația dvs. de lucru.Biletul Kerberos acționează la fel ca agentul SSH; odată ce îl ai, conexiunile noi sunt instantanee și fără parole; deși cu o limită de timp.

Pentru a obține datele de conectare interactive, trebuie să obțineți un fișier keytab, un fișier care conține în esență parola pentru un cont Kerberos, la fel ca jumătatea privată a unei chei SSH. În conformitate cu măsurile de securitate aplicabile; mai ales că tastatura nu este criptată sau protejată cu o parolă.

Sunt destul de reticent în a oferi utilizatorilor mei tastele lor pentru conturile lor personale, dar folosesc în mod agresiv conturi de servicii cu permisiuni minime pentru diferite lucrări în serie, mai ales în cazul în care este crucial ca acreditările să fie delegate la distanță sistemul, ceva ce pubkey pur și simplu nu poate realiza.

Keytabs pot fi create folosind ktutil pe Unix sau KTPASS.EXE pe Windows (acesta din urmă de la serviciile AD Kerberos). Rețineți că ktutil există în două arome, Heimdal și MIT, iar sintaxa lor diferă. Citirea paginii de manual pe un sistem relevant vă ajută.