Kerberos密钥终身

Question

我的域上运行了HTTP服务。但我对如何确定HTTP服务的生命周期几乎没有疑问。 客户端能够使用我的HTTP服务多长时间？

Answer 1

Kerberos票证的生存期（例如10小时）和可续订的生命周期（例如7天）。只要机票仍然有效并且仍然可以续订，您可以申请“免费”续订 - 无需密码 - 并且重置终身计数器（例如再次运行10小时）。

创建故障单时，每个“生命周期”设置为3个值的MIN（）：

• 在KDC服务器配置中设置的最长持续时间（查看 max_life 下的MIT documentation和 max_renewable_life ）
• 客户端配置中的标准持续时间，通常位于/etc/krb5.conf（查看 ticket_lifetime 下的MIT documentation和 renew_lifetime ）
• 客户端请求的显式持续时间（如果有）（例如kinit命令有-l和-r选项）

结论：如果您的KDC因max_renewable_life = 0而未提供可更新票证，那么客户必须每max_life次获得一张新票（或者如果他们的本地ticket_lifetime更小，则需要更少）

PS：如果故障单存储在默认缓存中，则可以使用klist检查（可更新）生命周期结束时间。
PPS：我记得一些关于Java API（JAAS）的投诉不允许应用程序请求可更新的Kerberos票证......检查是否仍然如此。