Question

我正在尝试使用密钥表（MIT KDC，Red Hat 7.4）为我的校长发行一张可续票：

su - newuser
kinit -r 7d -kt /etc/security/keytabs/newuser.service.keytab newuser/mask1.myhost.com@EXAMPLE.COM

查看标志：

[newuser@mask1 ~]$ klist -f
Ticket cache: FILE:/tmp/krb5cc_2824
Default principal: newuser/mask1.myhost.com@EXAMPLE.COM

Valid starting       Expires              Service principal
09/27/2018 09:40:32  09/28/2018 09:40:32  krbtgt/EXAMPLE.COM@EXAMPLE.COM
    Flags: FI

我的/etc/krb5.conf有

[libdefaults]
  renew_lifetime = 7d
  forwardable = true
  default_realm = EXAMPLE.COM
  ticket_lifetime = 24h

和我的/var/kerberos/krb5kdc/kdc.conf

[realms]
 EXAMPLE.COM = {
  #master_key_type = aes256-cts
  max_renewable_life = 7d 0h 0m 0s
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
  default_principal_flags = +renewable
 }

要获得可续签的机票，我想念什么？

更新：我可以通过这样做使门票可续签

kadmin
modprinc -maxrenewlife 7d krbtgt/EXAMPLE.COM@EXAMPLE.COM
modprinc -maxrenewlife 7d +allow_renewable newuser/mask1.myhost.com@EXAMPLE.COM

但这意味着我需要为每个校长都做。如何使所有票证默认情况下可更新生成？

Answer 1

您可以在 renew_lifetime 文件的 the [realms] section 中设置默认值（如 krb5.conf）。

Kerberos不会发行可再生票证

1 个答案: