
Kerberos
Description
Alles über E-Books | Antworten auf Fragen rund um E-Books, Kopierschutz und Dateiformate finden Sie in unserem Info- & Hilfebereich.
More details
Other editions
Additional editions


Persons
Content
- Cover
- Über den Autor
- Titel
- Impressum
- Über dieses Buch
- Inhaltsverzeichnis
- I Kerberos
- 1 Kerberos im Überblick
- 1.1 Ursprung am MIT: das Athena-Projekt
- 1.2 Versionen des Kerberos-Protokolls
- 1.3 Standardisierung
- 1.4 Implementierungen
- 1.4.1 Kerberos v4
- 1.4.2 Kerberos v5
- 1.4.3 Interoperabilität und Kompatibilität
- 2 Grundlagen der Netzwerkauthentisierung mit Kerberos
- 2.1 Authentisierung
- 2.1.1 Authentisierungsmerkmale
- 2.1.2 Problematik der Passwörter
- 2.1.3 Lokale Anmeldung vs. Netzwerkauthentisierung
- 2.2 Authentisierung mit Kerberos
- 2.2.1 Key Distribution Center
- 2.2.2 Realm
- 2.2.3 Principals
- 2.2.4 Tickets
- 2.2.5 Gegenseitige Authentisierung
- 2.2.6 Lokale Anmeldung und Kerberos
- 2.3 Delegation
- 2.4 Autorisierung und Zugriffskontrolle
- 2.4.1 Authentisierung ist Voraussetzung
- 2.4.2 Identity Mappings
- 2.4.3 Autorisierung und Kerberos
- 2.5 Single Sign-on (SSO)
- 2.6 Zusammenfassung
- 3 Kerberos aus Anwendersicht
- 3.1 Die Beispielumgebung
- 3.2 Lokale Anmeldung
- 3.3 Der Credential Cache
- 3.4 Anmeldung an Netzwerkdiensten
- 3.5 Delegation
- 3.6 Eine Demo-Webseite
- 3.7 Umgang mit dem Credential Cache
- 3.8 Zusammenfassung
- 4 Sicherheit und Kryptografie
- 4.1 Sicherheitsüberlegungen
- 4.1.1 Allgemeine Sicherheitsanforderungen
- 4.1.2 Die beteiligten Systemkomponenten
- 4.1.3 Anforderungen an Kerberos
- 4.2 Kryptografie in der Netzwerksicherheit
- 4.2.1 Vertraulichkeit
- 4.2.2 Integrität
- 4.2.3 Authentisierung
- 4.2.4 Passwörter, Schlüssel und Schlüsselaustausch
- 4.2.5 Zusammenfassung
- 5 Wie funktioniert Kerberos V5?
- 5.1 Das Funktionsprinzip im Überblick
- 5.1.1 Voraussetzungen
- 5.1.2 Das einstufige Kerberos-Verfahren
- 5.1.3 Diskussion
- 5.1.4 Das zweistufige Kerberos-Verfahren
- 5.1.5 Zusammenfassung
- 5.2 Das Funktionsprinzip im Detail
- 5.2.1 Die KDC-Datenbank
- 5.2.2 Der Authentication Service (AS)
- 5.2.3 Zugriff auf kerberisierte Dienste
- 5.2.4 Der Ticket-Granting Service (TGS)
- 5.3 Zusammenfassung
- 6 Kerberos für Fortgeschrittene
- 6.1 KDC-Optionen
- 6.1.1 Optionen für Ticket Renewing
- 6.1.2 Optionen für Ticket Postdating
- 6.1.3 Optionen für die Kerberos-Delegation
- 6.1.4 Sonstige Optionen
- 6.2 Ticket Flags
- 6.2.1 Flags für Ticket Renewing
- 6.2.2 Flags für Ticket Postdating
- 6.2.3 Flags für die Kerberos-Delegation
- 6.2.4 Sonstige Flags
- 6.3 AP-Optionen
- 6.4 Tickets automatisiert erneuern
- 6.5 Tickets für die Zukunft
- 6.6 Delegation zum Ersten
- 6.6.1 Ticket Forwarding
- 6.6.2 Ticket Proxying
- 6.7 Authentisierung zwischen Realms
- 6.7.1 Grundsätzliches zu Vertrauensstellung
- 6.7.2 Zwei Realms
- 6.7.3 Mehr als zwei Realms
- 6.8 Namenskanonisierung und Referrals
- 6.8.1 Kanonisierung der Client-Principal-Namen
- 6.8.2 Kanonisierung der Dienste-Principal-Namen
- 6.8.3 Verweise an entfernte Realms
- 6.9 User-to-User-Authentisierung
- 6.10 Kerberos und Autorisierungsdaten
- 6.11 Die S4U2Self-Erweiterung
- 6.12 Delegation zum Zweiten
- 6.12.1 Constrained Delegation
- 6.12.2 Protocol Transition
- 6.12.3 Diskussion
- 6.13 Initiale Authentisierung mit Zertifikaten
- 6.13.1 Eine Lösung für die Passwort-Problematik
- 6.13.2 Das Funktionsprinzip von PKINIT
- 6.13.3 Anonymes PKINIT
- 6.13.4 PKINIT Freshness Extension
- 6.13.5 Fazit
- 6.14 FAST: zusätzlicher Schutz für KDC-Austausch
- 6.15 Kerberos über HTTPS
- 6.16 Initiale Authentisierung mit zweitem Faktor
- II Zentrale Infrastrukturen
- 7 Grundlegende Infrastruktur
- 7.1 Überblick
- 7.2 Software, Systemdienste und lokale Firewall
- 7.3 DNS-Namensauflösung mit BIND
- 7.3.1 BIND installieren
- 7.3.2 Zonen einrichten
- 7.3.3 Starten und Testen
- 7.3.4 Subdomänen
- 7.4 Zeitsynchronisation mit NTP
- 7.5 Certificate Authority (CA) mit OpenSSL
- 7.5.1 Einrichtung der CA
- 7.5.2 Einen Zertifikatsrequest erzeugen
- 7.5.3 Das Zertifikat unterschreiben
- 7.6 Verzeichnisdienst mit OpenLDAP
- 7.6.1 Installation und Grundkonfiguration
- 7.6.2 Schemadefinition
- 7.6.3 Datenbank für dc=example,dc=com konfigurieren
- 7.6.4 Datenbank für dc=example,dc=com befüllen
- 7.6.5 Ein erster Test
- 7.6.6 Sicherheit
- 8 Das Key Distribution Center von MIT Kerberos
- 8.1 Übersicht
- 8.2 Softwareinstallation
- 8.3 Konfiguration
- 8.3.1 Der Master Key der KDC-Datenbank
- 8.3.2 Zeitangaben bei MIT Kerberos
- 8.3.3 Verschlüsselungstypen
- 8.3.4 Die Datei kdc.conf
- 8.4 Initialisierung der KDC-Datenbank
- 8.4.1 Die Datenbank mit kdb5_util initialisieren
- 8.4.2 Die initiale Datenbank
- 8.4.3 Mit kadmin.local weitere Principals anlegen
- 8.4.4 Master Key in Stash-Datei ablegen
- 8.5 Ein erster Test
- 9 Die Administration von MIT Kerberos
- 9.1 Der Kadmin-Dienst
- 9.2 Administrative Zugriffe kontrollieren
- 9.3 Der Kpasswd-Dienst
- 9.4 Starten der administrativen Dienste
- 9.5 Principals verwalten
- 9.5.1 Passwortrichtlinien
- 9.5.2 Lockout Policies
- 9.5.3 Principal-Eigenschaften
- 9.5.4 Principals für Anwender:innen anlegen
- 9.5.5 Principals für Dienste anlegen
- 9.5.6 Verschlüsselungstypen der Principals verwalten
- 9.6 Keytabs verwalten
- 9.6.1 Keytabs mit kadmin verwalten
- 9.6.2 Keytabs mit ktutil verwalten
- 9.7 Service Keys ändern
- 10 Die Clientkommandos von MIT Kerberos
- 10.1 Installation und Konfiguration
- 10.2 Die Kommandos kinit und klist
- 10.2.1 Tickets holen
- 10.2.2 Den Credential Cache auswählen
- 10.2.3 Ticket-Eigenschaften anzeigen und beeinflussen
- 10.2.4 Protokollrequests beeinflussen
- 10.2.5 Sonstige Kommandozeilenoptionen
- 10.2.6 Service Tickets holen
- 10.2.7 Mit Keytabs arbeiten
- 10.3 Das Kommando kvno
- 10.4 Das Kommando kpasswd
- 10.5 Das Kommando kdestroy
- 10.6 Die Kommandos k5start und krenew
- 10.6.1 krenew
- 10.6.2 k5start
- 11 Die Konfiguration der MIT Libraries
- 11.1 Die Datei krb5.conf
- 11.1.1 Die Struktur der krb5.conf
- 11.1.2 Konfigurationsabschnitte
- 11.1.3 Parameter im Abschnitt [libdefaults]
- 11.1.4 Parameter im Abschnitt [realms]
- 11.1.5 Parameter im Abschnitt [domain_realm]
- 11.1.6 Parameter im Abschnitt [appdefaults]
- 11.1.7 Die krb5.conf für den Realm EXAMPLE.COM
- 11.2 Konfiguration über DNS
- 11.2.1 SRV Records
- 11.2.2 TXT Records
- 11.3 Konfiguration mit Umgebungsvariablen
- 12 Ausfallsicherheit für MIT Kerberos
- 12.1 Backup der KDC-Datenbank
- 12.2 Wiederherstellung der KDC-Datenbank
- 12.3 Replikation der KDC-Datenbank
- 12.3.1 Möglichkeiten der Kerberos-Replikation
- 12.3.2 Sicherheit der Replikation
- 12.4 Replikation bei MIT Kerberos
- 12.4.1 Ein Replica KDC einrichten
- 12.4.2 Schritte auf dem Master KDC
- 12.4.3 Das Replica KDC starten
- 12.4.4 Das Replica KDC bekannt machen
- 12.4.5 Regelmäßig replizieren
- 13 Ein LDAP-Backend für die MIT-Datenbank
- 13.1 Überblick
- 13.1.1 Erweiterte Funktionalitäten
- 13.1.2 Vorgehensweise
- 13.1.3 Sicherheit
- 13.2 Software, Schema und Konfiguration des LDAP-Servers
- 13.2.1 Software installieren
- 13.2.2 Das Schema erweitern
- 13.3 Das KDC auf LDAP umstellen
- 13.3.1 Vorbereitungen
- 13.3.2 Konfiguration
- 13.3.3 Die KDC-Datenbank im LDAP initialisieren
- 13.3.4 Den Realm einrichten
- 13.4 Existierende Nutzerobjekte
- 13.5 Principal-Aliase
- 13.5.1 Client-Aliase
- 13.5.2 Dienste-Aliase
- 13.6 Ausfallsicherheit mit LDAP
- 13.6.1 OpenLDAP auf kdc01 vorbereiten
- 13.6.2 LDAP-Server auf kdc02 einrichten
- 13.6.3 Ausfallsicherheit für das KDC
- 13.6.4 Die Clientkonfiguration anpassen
- 14 Einen Heimdal Realm einrichten
- 14.1 Überblick
- 14.2 Vorbereitung
- 14.3 Das Key Distribution Center von Heimdal
- 14.3.1 Die Datei kdc.conf
- 14.3.2 Master Key
- 14.3.3 Die KDC-Datenbank initialisieren
- 14.3.4 Das KDC starten
- 14.4 Die Administration von Heimdal
- 14.4.1 Administrative Zugriffe kontrollieren
- 14.4.2 Principals verwalten
- 14.4.3 Weitere administrative Tätigkeiten
- 14.4.4 Passwörter verwalten
- 14.5 Die Heimdal-Werkzeuge
- 14.6 Ausfallsicherheit für Heimdal
- 14.6.1 Ein Replica KDC einrichten
- 14.6.2 Starten des hpropd auf dem Replica KDC
- 14.6.3 Die Replikation mit Hprop starten
- 14.6.4 Regelmäßig replizieren
- 14.7 Ein LDAP-Backend für Heimdal
- 14.7.1 LDAP vorbereiten
- 14.7.2 Das KDC auf LDAP umstellen
- 14.7.3 Ausfallsicherheit mit LDAP
- 15 Kerberos bei Microsoft Active Directory
- 15.1 Active Directory im Überblick
- 15.1.1 Kerberos in Active Directory
- 15.1.2 Kerberos-Erweiterungen
- 15.1.3 AD-Version und Functional Level
- 15.2 Testlabor
- 15.3 Das Key Distribution Center von Active Directory
- 15.3.1 Die Domäne einrichten
- 15.3.2 Grundlegende Dienste
- 15.3.3 Ein erster Test
- 15.3.4 Ausfallsicherheit
- 15.4 Kerberos-Administration
- 15.4.1 Administrationswerkzeuge
- 15.4.2 Überblick über den neuen Realm
- 15.4.3 Principals verwalten
- 15.4.4 Verschlüsselungstypen
- 15.4.5 Kerberos Policies
- 15.5 Keytab-Verwaltung in AD-Infrastrukturen
- 15.5.1 Keytabs unter Windows mit ktpass.exe erzeugen
- 15.5.2 Host Keytabs unter Linux mit adcli verwalten
- 15.5.3 Host Keytabs unter Linux mit msktutil verwalten
- 15.5.4 Keytabs für Service Accounts unter Linux mit msktutil verwalten
- 15.6 Kerberos-Administration mit LDAP
- 15.6.1 LDAP-Suchen im AD
- 15.6.2 Ein Benutzerobjekt anlegen
- 15.6.3 Diensteobjekte anlegen
- 15.6.4 Maschinenobjekte anlegen
- 15.7 Weitere Werkzeuge
- 16 Active Directory mit Samba 4
- 16.1 Die Domäne einrichten
- 16.1.1 DNS verwalten
- 16.1.2 Ein erster Test
- 16.1.3 Ausfallsicherheit
- 16.2 Kerberos-Administration
- 16.2.1 Benutzerkonten und Gruppen verwalten
- 16.2.2 Principals verwalten
- 16.3 Sicherheitsrichtlinien
- 16.4 Domain Join und Keytab-Verwaltung
- 16.5 Fazit
- 17 Kerberos bei FreeIPA
- 17.1 FreeIPA im Überblick
- 17.1.1 IPA-Komponenten
- 17.1.2 Deployment-Szenario
- 17.2 Die Domäne einrichten
- 17.3 Verwaltungsaufgaben in der IPA-Domäne
- 17.4 Integration weiterer Linux-Systeme
- 17.5 Ausfallsicherheit
- 17.6 Fazit
- 18 Kerberos für Fortgeschrittene
- 18.1 Verteilte Kerberos-Umgebungen
- 18.1.1 Cross-Realm bei MIT Kerberos
- 18.1.2 Cross-Realm bei Heimdal
- 18.1.3 Cross-Realm bei Active Directory
- 18.1.4 Aufbau der Gesamtstruktur
- 18.2 Delegation für Fortgeschrittene
- 18.2.1 Vorbereitungen
- 18.2.2 Das Ok-As-Delegate Flag
- 18.2.3 kimpersonate
- 18.2.4 Constrained Delegation und Protocol Transition
- 18.3 PKINIT
- 18.3.1 Initiale Authentisierung mit Zertifikaten
- 18.3.2 PKINIT im Testnetz
- 18.3.3 Kerberos, PKINIT und Smartcards
- 18.3.4 Anonymes PKINIT
- 18.4 Zwei-Faktor-Authentisierung
- 18.4.1 OTP Tokens bei IPA
- 18.4.2 OTP und Passwort bei der Anmeldung
- 18.4.3 OTP und Passwort bei kinit
- III Integrierte Umgebungen
- 19 Grundlagen
- 19.1 Principals und Keytabs verwalten
- 19.1.1 Client-Principals anlegen
- 19.1.2 Funktionalität von Client-Principals prüfen
- 19.1.3 Dienste-Principals anlegen
- 19.1.4 Funktionalität von Dienste-Principals prüfen
- 19.1.5 Keytab-Dateien anlegen
- 19.1.6 Funktionalität von Keytab-Dateien prüfen
- 19.2 Zwischenstand
- 19.3 Die nativen Kerberos-Bibliotheken
- 19.4 GSS-API
- 19.5 SPNEGO
- 19.6 SSPI
- 19.7 SASL
- 19.7.1 Protokolle
- 19.7.2 Mechanismen
- 19.7.3 Konzepte
- 19.7.4 Cyrus SASL
- 19.8 Zusammenfassung
- 20 LDAP-Infrastruktur
- 20.1 LDAP im Überblick
- 20.1.1 Begriffe und Standards
- 20.1.2 Serverimplementierungen
- 20.1.3 Daten im LDAP
- 20.1.4 Verzeichnisoperationen
- 20.2 LDAP-Sicherheit
- 20.3 Kerberisierung bei Active Directory
- 20.4 Kerberisierung bei OpenLDAP
- 20.4.1 SASL-Konfiguration
- 20.4.2 Principal und Keytab
- 20.4.3 Identitätsmapping
- 20.5 Zusammenfassung
- 21 Clientanbindung
- 21.1 Windows-Clients in Active Directory
- 21.2 Linux-Clients in Active Directory
- 21.3 Der System Security Services Daemon
- 21.3.1 Einfache sssd-Konfiguration für Active Directory
- 21.3.2 Name Service Switch (NSS) mit sssd
- 21.3.3 Pluggable Authentication Modules (PAM) mit sssd
- 21.3.4 Erweiterte sssd-Konfiguration
- 21.4 Ausbau der Gesamtstruktur
- 21.4.1 LDAP-Referrals einrichten
- 21.4.2 Identitäts- und Autorisierungsdaten für Linux
- 21.5 Linux-Clients in der Gesamtinfrastruktur
- 21.5.1 Anbindung testen
- 21.5.2 Multi-Domänen-Anbindung konfigurieren und testen
- 21.5.3 Schattenobjekte für LDAP-Zugriff auf Active Directory
- 21.6 Zusammenfassung
- 22 Elementare Netzwerkdienste unter Unix und Linux
- 22.1 Kerberos mit OpenSSH
- 22.1.1 Vorbereitungen
- 22.1.2 Kerberisierte Secure-Shell-Sitzung
- 22.1.3 Tickets weiterleiten
- 22.1.4 Secure-Shell-Client unter Windows
- 22.1.5 OpenSSH ohne Kerberos Tickets
- 22.2 Remote-Dienste in verteilter Umgebung
- 22.2.1 Cross-Realm-Problematik
- 22.2.2 auth_to_local-Mappings
- 22.2.3 Heimdal
- 22.2.4 Cross-Realm-Anmeldung ohne Kerberos Tickets
- 23 Kerberisierte Dateisysteme
- 23.1 Server Message Block
- 23.1.1 SMB-Service unter Windows einrichten
- 23.1.2 Authentisierung bei SMB
- 23.1.3 SMB-Client unter Linux
- 23.1.4 SMB-Service unter Linux: Samba
- 23.1.5 ID Mapping
- 23.1.6 Heimatverzeichnisse für alle Windows-Nutzer
- 23.2 Network File System
- 23.2.1 Überblick
- 23.2.2 NFSv3 ohne Kerberos
- 23.2.3 NFSv3 und Sicherheit
- 23.2.4 NFSv
- 23.2.5 Kerberisierter NFSv4-Service unter Linux
- 23.2.6 Den Server für Kerberos einrichten
- 23.2.7 Kerberisierter NFSv4-Client unter Linux
- 23.2.8 Den Client einrichten
- 23.2.9 NFSv4 und Sicherheit
- 23.2.10 NFSv4 in Cross-Realm-Umgebung
- 23.2.11 Abschlussarbeiten
- 23.3 Nichtinteraktiver Zugriff auf NFS-Verzeichnisse
- 23.3.1 Impersonifizierung über gssproxy einrichten
- 23.3.2 Impersonifizierung testen
- 23.4 Zusammenfassung
- 24 Single Sign-on für Webdienste
- 24.1 Kerberos und das HTTP-Protokoll
- 24.1.1 Das World Wide Web
- 24.1.2 Authentisierung im HTTP-Protokoll
- 24.1.3 Negotiate (SPNEGO)
- 24.2 Den Apache-Server konfigurieren
- 24.2.1 Voraussetzungen
- 24.2.2 Principals und Keytab-Einträge
- 24.2.3 mod_auth_gssapi konfigurieren
- 24.3 Browserkonfiguration
- 24.3.1 Vertrauenswürdige Seiten konfigurieren
- 24.3.2 Zugriff testen
- 24.3.3 Delegation konfigurieren
- 24.3.4 Delegation testen
- 24.4 Autorisierungsdaten und Ticket-Größe
- 24.5 Autorisierung über LDAP
- 24.6 Kerberos und Web-SSO
- 24.6.1 Keycloak installieren
- 24.6.2 Keycloak kerberisieren
- 24.6.3 Account-Konsole als Test
- 24.6.4 Erweiterungsmöglichkeiten
- 24.7 Kerberos-Authentisierung im Web-Proxy
- 24.7.1 Den Squid-Proxy vorbereiten
- 24.7.2 Kerberos-Principal für Squid
- 24.7.3 Squid-Anmeldung konfigurieren
- 24.7.4 Browserkonfiguration für Proxy-Authentisierung
- 24.8 Zusammenfassung
- IV Anhang
- A Schnelleinstieg in LDAP
- A.1 LDIF
- A.1.1 Das LDAP-Datenmodell
- A.1.2 LDIF-Repräsentation von LDAP-Daten
- A.1.3 Änderungen mit LDIF
- A.2 OpenLDAP-Tools
- A.2.1 Suchen mit ldapsearch
- A.2.2 Authentisierung
- A.2.3 Weitere OpenLDAP-Kommandos
- A.3 Grafische LDAP-Werkzeuge
- B Konfiguration der Betriebssysteme
- B.1 Netzwerkparameter
- B.2 CentOS 8
- B.3 Windows Server 2019
- B.4 Windows 10
- C Softwareinstallationen
- C.1 Vorbemerkungen
- C.2 MIT Kerberos
- C.3 Heimdal
- C.4 k5start
- C.5 msktutil
- C.6 Samba
- Literaturverzeichnis
- Fußnoten
- Index
System requirements
File format: PDF
Copy protection: Watermark-DRM (Digital Rights Management)
System requirements:
- Computer (Windows; MacOS X; Linux): Use the free software Adobe Reader, Adobe Digital Editions, or any other PDF viewer of your choice (see eBook Help).
- Tablet/Smartphone (Android; iOS): Install the free app Adobe Digital Editions or another reading app for eBooks, e.g., PocketBook (see eBook Help).
- E-reader: Bookeen, Kobo, Pocketbook, Sony, Tolino and many more (only limited: Kindle).
The file format PDF always displays a book page identically on any hardware. This makes PDF suitable for complex layouts such as those used in textbooks and reference books (images, tables, columns, footnotes). Unfortunately, on the small screens of e-readers or smartphones, PDFs are rather annoying, requiring too much scrolling.
This eBook uses Watermark-DRM, a „soft” copy protection. This means that there are no technical restrictions to prevent illegal distribution. However, there is a personalised watermark embedded in the eBook that can be used to identify the purchaser of the eBook in the event of misuse and to provide evidence for legal purposes.
For more information, see our eBook Help page.