kinitがログイン時にチケットを取得するためのマシンパスワードを使用するログインスクリプト

Question

自分のマシンにログインするためのパスワード/パスフレーズを同期化し、sshキーファイル（~/.ssh/id_rsa、man ssh-keygenを参照）のロックを解除してください。 ログインすると、ローカルマシンアカウントにアクセスするためにパスワードを1回入力し、ボーナスとしてsshキーファイルもロック解除されます。

また、同じパスワードを使用するケルベロス認証を自動化したいと思います。 は基本的に、私は私の '〜/ .bash_profile`でこれを置くのと同等の効果を達成するための安全な方法をしたい：

# PASSWORD SHOULD NEVER BE HARDCODED - FOR EXPLANATION PURPOSE ONLY 
PASSWORD="qwerty" # NEVER DO THIS!!! 
echo "$PASSWORD" | kinit -u $KRBUSR 

任意の提案ですか？キーファイルのロック解除方法についての洞察？

Answer 1

あなたの質問はthat oneの重複としてタグ付けすることができますが、のは、明確な声明から始めましょう、残りの混乱を避けるために：スクリプト内のINTERACTIVEパスワードの入力をシミュレートすることPURE EVILです。

さらに、は自動的にKerberosチケットを作成するための適切な方法があります。たとえば、起動時にLinuxサービスを認証するために使用できます。

• ステップ0：KDCとの取り決めされている暗号化アルゴリズム（複数可）を一覧表示するklist -eを実行します - 例えば、 "AES256-CTS-HMAC-SHA1-96" と "ARCFOUR-HMAC"
  NB ：そのレガシーARC4は不潔、まだ多くの企業のActive Directoryディレクトリ内の合法的である
• ステップ1：、ktutil（チュートリアル例えばhere）で、あなたのプリンシパルのkeytabファイルを作成し、暗号化アルゴリズム
• ステップ2ごとに1つのエントリを追加します：キータブファイルの作成直後にアクセスを制限するチケットの更新を要求するために、あなたが定期的にkinit -Rを実行することができます。パスワードを入力せずに認証するためにkinit -kt <path/to/keytab_file> <principal@REALM>を使用
• ステップ4：chmodを持つファイルへは、そうでない場合は誰もが
• ステップ3「あなたのKerberosアイデンティティを盗む」ために、ファイルを使用することができます

---

（下記参照）、それはまだ満了していないことを、あなたが再生可能なチケットを持っていることを提供し、あなたが最大の再生可能限界に達しなかったこと - （その更新は、パスワードを必要としません）サイドノート：で使用されている暗号化アルゴは/etc/krb5.confのpermitted_enctypesおよびdefault_tkt_enctypesおよびdefault_tgs_enctypesの設定と一致しますが、Kerberosサーバ（KDC）がこれらのアルゴリズムを受け入れることが条件です。

サイドノート：kinitによって作成されたチケットはticket_lifetime下/etc/krb5.confで構成された寿命を持っているが - それはKDCの上限（通常は10H）を超えないことを条件とします。
更新可能な寿命はrenew_lifetime〜などです。（ゼロ寿命はチケットが再生不能としてマークされることを意味する）

---

ところで、あなたのLinuxボックスは、Active Directoryに裏打ちされたSSSD認証を使用している場合、あなたは自動作成&更新を有効にすることができます以下のような性質を持つあなたのKerberosチケットの：

ldap_krb5_init_creds = True 
krb5_ccname_template = FILE:/tmp/krb5cc_%U 
krb5_lifetime   = 86400 
krb5_renewable_lifetime = 604800 
krb5_renew_interval  = 7200 

Answer 2

これは、PAMで解けるようになります。https://unix.stackexchange.com/questions/12021/automatic-kerberos-ticket-initialization-on-login

私は成功しなかった。私のユーザ名がローカルマシンとケルベロスの間で一致しないか、またはケルベロスのh​​eimdal実装を使用している可能性があります。