Cover: Kerberos - dpunkt

Kerberos

Single Sign-on in gemischten Linux/Windows-Umgebungen

Mark Pröhl Daniel Kobras(Author)

dpunkt (Publisher)

2nd Edition

Published on 14. April 2022

618 pages

E-Book

PDF with digital watermarking

System requirements

978-3-96088-851-2 (ISBN)

€41.90incl. 7% vat

System requirements

for PDF with digital watermarking

E-Book Single Licence to 17.06.2026

Available for download

Description

Alles über E-Books | Antworten auf Fragen rund um E-Books, Kopierschutz und Dateiformate finden Sie in unserem Info- & Hilfebereich.

Alles über E-Books, Kopierschutz & Dateiformate finden Sie in unserem Info- & Hilfebereich.

Fragen zu Kerberos? Hier gibt es Antworten! Das deutsche Standardwerk zu Kerberos Seit Jahren bewährt und vielerorts im Einsatz Komplett überarbeitete zweite Auflage Als Begleitliteratur für Schulungen und fürs Selbststudium geeignet Wer als Administrator eine heterogene Netzwerkumgebung mit einheitlicher Benutzerverwaltung betreiben soll, kommt an Netzwerkdiensten wie LDAP und Kerberos nicht vorbei. Dieses Buch behandelt zunächst die theoretischen Grundlagen von Kerberos und erklärt dabei auch fortgeschrittene Themen wie PKINIT, FAST, Principal-Aliase, KDC-Referrals und die aus Microsofts Active Directory bekannten Erweiterungen Protocol Transition und Constrained Delegation. Die darauf folgenden Praxiskapitel beschreiben den Aufbau und die Verwaltung von Kerberos in Linux- und Windows-Infrastrukturen. Außerdem werden die Integration von Linux-Betriebssystemen und Einbindung grundlegender Netzwerkdienste unter Linux erläutert. Dabei werden auch folgende Themengebiete im Hinblick auf Kerberos behandelt: - LDAP - NFSv4 - SMB (Samba) - Web-Technologien (Apache Webserver, Squid Webproxy, Keycloak) - PKINIT und Smartcards - Zweifaktor-Authentisierung mit Kerberos - Kerberos in Microsoft Active Directory (AD) - Kerberos in Samba 4 - Kerberos in FreeIPA - Kerberos in Hadoop-Umgebungen (Secure Mode) - Linux-AD-Integration Für eine erfolgreiche Einführung von Kerberos ist das Verständnis seiner Funktionsweise unerlässlich. Dieses Verständnis ist gleichermaßen für die "Kerberisierung", also die Einbindung Kerberos-fähiger Anwendungen, notwendig. Aus diesem Grund werden die theoretischen Themen sehr gründlich behandelt. Um das theoretisch Gelernte schnell umzusetzen und selbst auszuprobieren, beschreibt das Buch außerdem eine konkrete Beispielumgebung, die auf CentOS 8, Windows 10 und Windows Server 2019 basiert. Die 2. Auflage wurde komplett überarbeitet und enthält folgende neue Themen: Squid Webproxy, Web Single Sign-on mit Keycloak, Zweifaktor-Authentisierung, FreeIPA, Samba 4, Kerberos bei Hadoop.

More details

Other editions

Persons

Content

Cover
Über den Autor
Titel
Impressum
Über dieses Buch
Inhaltsverzeichnis
I Kerberos
1 Kerberos im Überblick
1.1 Ursprung am MIT: das Athena-Projekt
1.2 Versionen des Kerberos-Protokolls
1.3 Standardisierung
1.4 Implementierungen
1.4.1 Kerberos v4
1.4.2 Kerberos v5
1.4.3 Interoperabilität und Kompatibilität
2 Grundlagen der Netzwerkauthentisierung mit Kerberos
2.1 Authentisierung
2.1.1 Authentisierungsmerkmale
2.1.2 Problematik der Passwörter
2.1.3 Lokale Anmeldung vs. Netzwerkauthentisierung
2.2 Authentisierung mit Kerberos
2.2.1 Key Distribution Center
2.2.2 Realm
2.2.3 Principals
2.2.4 Tickets
2.2.5 Gegenseitige Authentisierung
2.2.6 Lokale Anmeldung und Kerberos
2.3 Delegation
2.4 Autorisierung und Zugriffskontrolle
2.4.1 Authentisierung ist Voraussetzung
2.4.2 Identity Mappings
2.4.3 Autorisierung und Kerberos
2.5 Single Sign-on (SSO)
2.6 Zusammenfassung
3 Kerberos aus Anwendersicht
3.1 Die Beispielumgebung
3.2 Lokale Anmeldung
3.3 Der Credential Cache
3.4 Anmeldung an Netzwerkdiensten
3.5 Delegation
3.6 Eine Demo-Webseite
3.7 Umgang mit dem Credential Cache
3.8 Zusammenfassung
4 Sicherheit und Kryptografie
4.1 Sicherheitsüberlegungen
4.1.1 Allgemeine Sicherheitsanforderungen
4.1.2 Die beteiligten Systemkomponenten
4.1.3 Anforderungen an Kerberos
4.2 Kryptografie in der Netzwerksicherheit
4.2.1 Vertraulichkeit
4.2.2 Integrität
4.2.3 Authentisierung
4.2.4 Passwörter, Schlüssel und Schlüsselaustausch
4.2.5 Zusammenfassung
5 Wie funktioniert Kerberos V5?
5.1 Das Funktionsprinzip im Überblick
5.1.1 Voraussetzungen
5.1.2 Das einstufige Kerberos-Verfahren
5.1.3 Diskussion
5.1.4 Das zweistufige Kerberos-Verfahren
5.1.5 Zusammenfassung
5.2 Das Funktionsprinzip im Detail
5.2.1 Die KDC-Datenbank
5.2.2 Der Authentication Service (AS)
5.2.3 Zugriff auf kerberisierte Dienste
5.2.4 Der Ticket-Granting Service (TGS)
5.3 Zusammenfassung
6 Kerberos für Fortgeschrittene
6.1 KDC-Optionen
6.1.1 Optionen für Ticket Renewing
6.1.2 Optionen für Ticket Postdating
6.1.3 Optionen für die Kerberos-Delegation
6.1.4 Sonstige Optionen
6.2 Ticket Flags
6.2.1 Flags für Ticket Renewing
6.2.2 Flags für Ticket Postdating
6.2.3 Flags für die Kerberos-Delegation
6.2.4 Sonstige Flags
6.3 AP-Optionen
6.4 Tickets automatisiert erneuern
6.5 Tickets für die Zukunft
6.6 Delegation zum Ersten
6.6.1 Ticket Forwarding
6.6.2 Ticket Proxying
6.7 Authentisierung zwischen Realms
6.7.1 Grundsätzliches zu Vertrauensstellung
6.7.2 Zwei Realms
6.7.3 Mehr als zwei Realms
6.8 Namenskanonisierung und Referrals
6.8.1 Kanonisierung der Client-Principal-Namen
6.8.2 Kanonisierung der Dienste-Principal-Namen
6.8.3 Verweise an entfernte Realms
6.9 User-to-User-Authentisierung
6.10 Kerberos und Autorisierungsdaten
6.11 Die S4U2Self-Erweiterung
6.12 Delegation zum Zweiten
6.12.1 Constrained Delegation
6.12.2 Protocol Transition
6.12.3 Diskussion
6.13 Initiale Authentisierung mit Zertifikaten
6.13.1 Eine Lösung für die Passwort-Problematik
6.13.2 Das Funktionsprinzip von PKINIT
6.13.3 Anonymes PKINIT
6.13.4 PKINIT Freshness Extension
6.13.5 Fazit
6.14 FAST: zusätzlicher Schutz für KDC-Austausch
6.15 Kerberos über HTTPS
6.16 Initiale Authentisierung mit zweitem Faktor
II Zentrale Infrastrukturen
7 Grundlegende Infrastruktur
7.1 Überblick
7.2 Software, Systemdienste und lokale Firewall
7.3 DNS-Namensauflösung mit BIND
7.3.1 BIND installieren
7.3.2 Zonen einrichten
7.3.3 Starten und Testen
7.3.4 Subdomänen
7.4 Zeitsynchronisation mit NTP
7.5 Certificate Authority (CA) mit OpenSSL
7.5.1 Einrichtung der CA
7.5.2 Einen Zertifikatsrequest erzeugen
7.5.3 Das Zertifikat unterschreiben
7.6 Verzeichnisdienst mit OpenLDAP
7.6.1 Installation und Grundkonfiguration
7.6.2 Schemadefinition
7.6.3 Datenbank für dc=example,dc=com konfigurieren
7.6.4 Datenbank für dc=example,dc=com befüllen
7.6.5 Ein erster Test
7.6.6 Sicherheit
8 Das Key Distribution Center von MIT Kerberos
8.1 Übersicht
8.2 Softwareinstallation
8.3 Konfiguration
8.3.1 Der Master Key der KDC-Datenbank
8.3.2 Zeitangaben bei MIT Kerberos
8.3.3 Verschlüsselungstypen
8.3.4 Die Datei kdc.conf
8.4 Initialisierung der KDC-Datenbank
8.4.1 Die Datenbank mit kdb5_util initialisieren
8.4.2 Die initiale Datenbank
8.4.3 Mit kadmin.local weitere Principals anlegen
8.4.4 Master Key in Stash-Datei ablegen
8.5 Ein erster Test
9 Die Administration von MIT Kerberos
9.1 Der Kadmin-Dienst
9.2 Administrative Zugriffe kontrollieren
9.3 Der Kpasswd-Dienst
9.4 Starten der administrativen Dienste
9.5 Principals verwalten
9.5.1 Passwortrichtlinien
9.5.2 Lockout Policies
9.5.3 Principal-Eigenschaften
9.5.4 Principals für Anwender:innen anlegen
9.5.5 Principals für Dienste anlegen
9.5.6 Verschlüsselungstypen der Principals verwalten
9.6 Keytabs verwalten
9.6.1 Keytabs mit kadmin verwalten
9.6.2 Keytabs mit ktutil verwalten
9.7 Service Keys ändern
10 Die Clientkommandos von MIT Kerberos
10.1 Installation und Konfiguration
10.2 Die Kommandos kinit und klist
10.2.1 Tickets holen
10.2.2 Den Credential Cache auswählen
10.2.3 Ticket-Eigenschaften anzeigen und beeinflussen
10.2.4 Protokollrequests beeinflussen
10.2.5 Sonstige Kommandozeilenoptionen
10.2.6 Service Tickets holen
10.2.7 Mit Keytabs arbeiten
10.3 Das Kommando kvno
10.4 Das Kommando kpasswd
10.5 Das Kommando kdestroy
10.6 Die Kommandos k5start und krenew
10.6.1 krenew
10.6.2 k5start
11 Die Konfiguration der MIT Libraries
11.1 Die Datei krb5.conf
11.1.1 Die Struktur der krb5.conf
11.1.2 Konfigurationsabschnitte
11.1.3 Parameter im Abschnitt [libdefaults]
11.1.4 Parameter im Abschnitt [realms]
11.1.5 Parameter im Abschnitt [domain_realm]
11.1.6 Parameter im Abschnitt [appdefaults]
11.1.7 Die krb5.conf für den Realm EXAMPLE.COM
11.2 Konfiguration über DNS
11.2.1 SRV Records
11.2.2 TXT Records
11.3 Konfiguration mit Umgebungsvariablen
12 Ausfallsicherheit für MIT Kerberos
12.1 Backup der KDC-Datenbank
12.2 Wiederherstellung der KDC-Datenbank
12.3 Replikation der KDC-Datenbank
12.3.1 Möglichkeiten der Kerberos-Replikation
12.3.2 Sicherheit der Replikation
12.4 Replikation bei MIT Kerberos
12.4.1 Ein Replica KDC einrichten
12.4.2 Schritte auf dem Master KDC
12.4.3 Das Replica KDC starten
12.4.4 Das Replica KDC bekannt machen
12.4.5 Regelmäßig replizieren
13 Ein LDAP-Backend für die MIT-Datenbank
13.1 Überblick
13.1.1 Erweiterte Funktionalitäten
13.1.2 Vorgehensweise
13.1.3 Sicherheit
13.2 Software, Schema und Konfiguration des LDAP-Servers
13.2.1 Software installieren
13.2.2 Das Schema erweitern
13.3 Das KDC auf LDAP umstellen
13.3.1 Vorbereitungen
13.3.2 Konfiguration
13.3.3 Die KDC-Datenbank im LDAP initialisieren
13.3.4 Den Realm einrichten
13.4 Existierende Nutzerobjekte
13.5 Principal-Aliase
13.5.1 Client-Aliase
13.5.2 Dienste-Aliase
13.6 Ausfallsicherheit mit LDAP
13.6.1 OpenLDAP auf kdc01 vorbereiten
13.6.2 LDAP-Server auf kdc02 einrichten
13.6.3 Ausfallsicherheit für das KDC
13.6.4 Die Clientkonfiguration anpassen
14 Einen Heimdal Realm einrichten
14.1 Überblick
14.2 Vorbereitung
14.3 Das Key Distribution Center von Heimdal
14.3.1 Die Datei kdc.conf
14.3.2 Master Key
14.3.3 Die KDC-Datenbank initialisieren
14.3.4 Das KDC starten
14.4 Die Administration von Heimdal
14.4.1 Administrative Zugriffe kontrollieren
14.4.2 Principals verwalten
14.4.3 Weitere administrative Tätigkeiten
14.4.4 Passwörter verwalten
14.5 Die Heimdal-Werkzeuge
14.6 Ausfallsicherheit für Heimdal
14.6.1 Ein Replica KDC einrichten
14.6.2 Starten des hpropd auf dem Replica KDC
14.6.3 Die Replikation mit Hprop starten
14.6.4 Regelmäßig replizieren
14.7 Ein LDAP-Backend für Heimdal
14.7.1 LDAP vorbereiten
14.7.2 Das KDC auf LDAP umstellen
14.7.3 Ausfallsicherheit mit LDAP
15 Kerberos bei Microsoft Active Directory
15.1 Active Directory im Überblick
15.1.1 Kerberos in Active Directory
15.1.2 Kerberos-Erweiterungen
15.1.3 AD-Version und Functional Level
15.2 Testlabor
15.3 Das Key Distribution Center von Active Directory
15.3.1 Die Domäne einrichten
15.3.2 Grundlegende Dienste
15.3.3 Ein erster Test
15.3.4 Ausfallsicherheit
15.4 Kerberos-Administration
15.4.1 Administrationswerkzeuge
15.4.2 Überblick über den neuen Realm
15.4.3 Principals verwalten
15.4.4 Verschlüsselungstypen
15.4.5 Kerberos Policies
15.5 Keytab-Verwaltung in AD-Infrastrukturen
15.5.1 Keytabs unter Windows mit ktpass.exe erzeugen
15.5.2 Host Keytabs unter Linux mit adcli verwalten
15.5.3 Host Keytabs unter Linux mit msktutil verwalten
15.5.4 Keytabs für Service Accounts unter Linux mit msktutil verwalten
15.6 Kerberos-Administration mit LDAP
15.6.1 LDAP-Suchen im AD
15.6.2 Ein Benutzerobjekt anlegen
15.6.3 Diensteobjekte anlegen
15.6.4 Maschinenobjekte anlegen
15.7 Weitere Werkzeuge
16 Active Directory mit Samba 4
16.1 Die Domäne einrichten
16.1.1 DNS verwalten
16.1.2 Ein erster Test
16.1.3 Ausfallsicherheit
16.2 Kerberos-Administration
16.2.1 Benutzerkonten und Gruppen verwalten
16.2.2 Principals verwalten
16.3 Sicherheitsrichtlinien
16.4 Domain Join und Keytab-Verwaltung
16.5 Fazit
17 Kerberos bei FreeIPA
17.1 FreeIPA im Überblick
17.1.1 IPA-Komponenten
17.1.2 Deployment-Szenario
17.2 Die Domäne einrichten
17.3 Verwaltungsaufgaben in der IPA-Domäne
17.4 Integration weiterer Linux-Systeme
17.5 Ausfallsicherheit
17.6 Fazit
18 Kerberos für Fortgeschrittene
18.1 Verteilte Kerberos-Umgebungen
18.1.1 Cross-Realm bei MIT Kerberos
18.1.2 Cross-Realm bei Heimdal
18.1.3 Cross-Realm bei Active Directory
18.1.4 Aufbau der Gesamtstruktur
18.2 Delegation für Fortgeschrittene
18.2.1 Vorbereitungen
18.2.2 Das Ok-As-Delegate Flag
18.2.3 kimpersonate
18.2.4 Constrained Delegation und Protocol Transition
18.3 PKINIT
18.3.1 Initiale Authentisierung mit Zertifikaten
18.3.2 PKINIT im Testnetz
18.3.3 Kerberos, PKINIT und Smartcards
18.3.4 Anonymes PKINIT
18.4 Zwei-Faktor-Authentisierung
18.4.1 OTP Tokens bei IPA
18.4.2 OTP und Passwort bei der Anmeldung
18.4.3 OTP und Passwort bei kinit
III Integrierte Umgebungen
19 Grundlagen
19.1 Principals und Keytabs verwalten
19.1.1 Client-Principals anlegen
19.1.2 Funktionalität von Client-Principals prüfen
19.1.3 Dienste-Principals anlegen
19.1.4 Funktionalität von Dienste-Principals prüfen
19.1.5 Keytab-Dateien anlegen
19.1.6 Funktionalität von Keytab-Dateien prüfen
19.2 Zwischenstand
19.3 Die nativen Kerberos-Bibliotheken
19.4 GSS-API
19.5 SPNEGO
19.6 SSPI
19.7 SASL
19.7.1 Protokolle
19.7.2 Mechanismen
19.7.3 Konzepte
19.7.4 Cyrus SASL
19.8 Zusammenfassung
20 LDAP-Infrastruktur
20.1 LDAP im Überblick
20.1.1 Begriffe und Standards
20.1.2 Serverimplementierungen
20.1.3 Daten im LDAP
20.1.4 Verzeichnisoperationen
20.2 LDAP-Sicherheit
20.3 Kerberisierung bei Active Directory
20.4 Kerberisierung bei OpenLDAP
20.4.1 SASL-Konfiguration
20.4.2 Principal und Keytab
20.4.3 Identitätsmapping
20.5 Zusammenfassung
21 Clientanbindung
21.1 Windows-Clients in Active Directory
21.2 Linux-Clients in Active Directory
21.3 Der System Security Services Daemon
21.3.1 Einfache sssd-Konfiguration für Active Directory
21.3.2 Name Service Switch (NSS) mit sssd
21.3.3 Pluggable Authentication Modules (PAM) mit sssd
21.3.4 Erweiterte sssd-Konfiguration
21.4 Ausbau der Gesamtstruktur
21.4.1 LDAP-Referrals einrichten
21.4.2 Identitäts- und Autorisierungsdaten für Linux
21.5 Linux-Clients in der Gesamtinfrastruktur
21.5.1 Anbindung testen
21.5.2 Multi-Domänen-Anbindung konfigurieren und testen
21.5.3 Schattenobjekte für LDAP-Zugriff auf Active Directory
21.6 Zusammenfassung
22 Elementare Netzwerkdienste unter Unix und Linux
22.1 Kerberos mit OpenSSH
22.1.1 Vorbereitungen
22.1.2 Kerberisierte Secure-Shell-Sitzung
22.1.3 Tickets weiterleiten
22.1.4 Secure-Shell-Client unter Windows
22.1.5 OpenSSH ohne Kerberos Tickets
22.2 Remote-Dienste in verteilter Umgebung
22.2.1 Cross-Realm-Problematik
22.2.2 auth_to_local-Mappings
22.2.3 Heimdal
22.2.4 Cross-Realm-Anmeldung ohne Kerberos Tickets
23 Kerberisierte Dateisysteme
23.1 Server Message Block
23.1.1 SMB-Service unter Windows einrichten
23.1.2 Authentisierung bei SMB
23.1.3 SMB-Client unter Linux
23.1.4 SMB-Service unter Linux: Samba
23.1.5 ID Mapping
23.1.6 Heimatverzeichnisse für alle Windows-Nutzer
23.2 Network File System
23.2.1 Überblick
23.2.2 NFSv3 ohne Kerberos
23.2.3 NFSv3 und Sicherheit
23.2.4 NFSv
23.2.5 Kerberisierter NFSv4-Service unter Linux
23.2.6 Den Server für Kerberos einrichten
23.2.7 Kerberisierter NFSv4-Client unter Linux
23.2.8 Den Client einrichten
23.2.9 NFSv4 und Sicherheit
23.2.10 NFSv4 in Cross-Realm-Umgebung
23.2.11 Abschlussarbeiten
23.3 Nichtinteraktiver Zugriff auf NFS-Verzeichnisse
23.3.1 Impersonifizierung über gssproxy einrichten
23.3.2 Impersonifizierung testen
23.4 Zusammenfassung
24 Single Sign-on für Webdienste
24.1 Kerberos und das HTTP-Protokoll
24.1.1 Das World Wide Web
24.1.2 Authentisierung im HTTP-Protokoll
24.1.3 Negotiate (SPNEGO)
24.2 Den Apache-Server konfigurieren
24.2.1 Voraussetzungen
24.2.2 Principals und Keytab-Einträge
24.2.3 mod_auth_gssapi konfigurieren
24.3 Browserkonfiguration
24.3.1 Vertrauenswürdige Seiten konfigurieren
24.3.2 Zugriff testen
24.3.3 Delegation konfigurieren
24.3.4 Delegation testen
24.4 Autorisierungsdaten und Ticket-Größe
24.5 Autorisierung über LDAP
24.6 Kerberos und Web-SSO
24.6.1 Keycloak installieren
24.6.2 Keycloak kerberisieren
24.6.3 Account-Konsole als Test
24.6.4 Erweiterungsmöglichkeiten
24.7 Kerberos-Authentisierung im Web-Proxy
24.7.1 Den Squid-Proxy vorbereiten
24.7.2 Kerberos-Principal für Squid
24.7.3 Squid-Anmeldung konfigurieren
24.7.4 Browserkonfiguration für Proxy-Authentisierung
24.8 Zusammenfassung
IV Anhang
A Schnelleinstieg in LDAP
A.1 LDIF
A.1.1 Das LDAP-Datenmodell
A.1.2 LDIF-Repräsentation von LDAP-Daten
A.1.3 Änderungen mit LDIF
A.2 OpenLDAP-Tools
A.2.1 Suchen mit ldapsearch
A.2.2 Authentisierung
A.2.3 Weitere OpenLDAP-Kommandos
A.3 Grafische LDAP-Werkzeuge
B Konfiguration der Betriebssysteme
B.1 Netzwerkparameter
B.2 CentOS 8
B.3 Windows Server 2019
B.4 Windows 10
C Softwareinstallationen
C.1 Vorbemerkungen
C.2 MIT Kerberos
C.3 Heimdal
C.4 k5start
C.5 msktutil
C.6 Samba
Literaturverzeichnis
Fußnoten
Index

System requirements

Save as PDF Copy link into clipboard