Автоматична ініціалізація квитків кербероса при вході в систему

Я використовую, ksshaskpassщоб додати свої захищені паролем ключі до ssh-agentвходу в KDE, чи є щось подібне для kerberos?

kde login kerberos

— Шімон Тот
джерело

Відповіді:

Я б розглядав можливість використання pam-krb5 .

На Debian і Ubuntu це повинно бути apt-get install libpam-krb5.

Конфігурація PAM виглядатиме приблизно так:

auth required pam_unix.so
auth optional pam_krb5.so try_first_pass

або

auth required pam_unix.so
auth optional pam_krb5.so use_first_pass

в /etc/pam.d/common-auth.

Він бере пароль, який ви використовували для локальної автентифікації, наприклад, пароль /etc/shadow, а потім намагається використовувати той самий, що і ваш пароль Kerberos.

Якщо ваш пароль Kerberos такий же, як і ваш системний пароль, вам більше не потрібно вводити його.

Якщо ваш пароль Kerberos відрізняється від вашого системного пароля, що відбувається , залежить від того , використовується ви try_first_passабо use_first_pass:

try_first_pass запитає ваш пароль Kerberos
use_first_passне запитає вас, але вам доведеться бігти kinitпізніше

Зауважте, що це, мабуть, робить і ksshaskpass надлишковим, тому що ви також можете мати:

auth required pam_unix.so
auth optional pam_ssh.so try_first_pass
auth optional pam_krb5.so try_first_pass

Для Debian і Ubuntu, що вимагає встановлення libpam-ssh .

— Мікель
джерело

Так, я знаю про це, але мені хотілося б рішення, яке працює з різними паролями.

— Шимон Тот

@Let_Me_Be: Чи можете ви детальніше? try_first_passабо жоден варіант не повинен працювати в такому випадку.

— Мікель

Як це буде працювати, якщо моє ім’я kerberos відрізняється від локального імені користувача? Наприклад, gertпроти gertvdijk.

— gertvdijk

Було б чудово, щоб киніти за допомогою брелока, хтось знає про щось подібне?

— Дейв

Зазвичай Kerberos буде інтегрований з PAM pam_krb5.so. Він спробує придбати квиток на Kerberos на основі вашого імені користувача та пароля, який ви надаєте. Він також може скористатися цим, щоб перевірити, чи вам дозволяється входити в систему, але це може бути встановлено ігнорувати, якщо ви просто хочете квиток. Його потрібно додати як автентичний, так і сесійний модуль, ймовірно, також пароль, якщо ви плануєте синхронізувати свій пароль Kerberos з робочим столом. Якщо ви плануєте використовувати Kerberos для підтвердження входу користувача, вам також слід встановити файл вашої клавіші за адресою /etc/krb5.keytab за допомогою ключа для host/hostname.example.com@EXAMPLE.COM замінити ім'я хоста та example.com відповідно до ваше оточення.

— пінгвін359
джерело