Kerberosキーの有効期間

Question

ドメインでHTTPサービスを実行しています。しかし、私は、HTTPサービスの寿命がどのように決定されるかにはほとんど疑問がありません。 クライアントはいつまでHTTPサービスを使用できますか？

Answer 1

A Kerberosチケットは、寿命（例えば10時間）、再生可能寿命（例えば7日）を有しています。チケットがまだ有効で、再生可能な限り、パスワードなしの「無料の」更新をリクエストして、ライフタイムカウンタをリセットします（たとえば、10h、もう一度）。 3つの値のチケットを作成する場合、各 "寿命" は（MINに設定されている

）：

• KDCサーバの設定に設定され、最大時間（MIT documentation下max_lifeとmax_renewable_lifeをチェック）
• 通常/etc/krb5.confにおけるクライアントの設定で、標準的な期間、（MIT documentation下ticket_lifetimeとrenew_lifetimeをチェック）
• クライアントから要求された明示的な期間、もしあれば（例えばkinitコマンドは-lと-rのオプションを持っている）

ボトムライン：max_renewable_life = 0その後、クライアントがありますので、あなたのKDCは、再生可能チケットサービスを提供していない場合max_life（またはそのローカルticket_lifetimeが小さい場合はそれ以下）のチケットをすべて取得します。

PS：チケットがデフォルトキャッシュに保存されている場合は、klistを使用して、（再生可能な）終了時間を確認できます。
PPS：Java API（JAAS）のアプリケーションが更新可能なKerberosチケットを要求できないという苦情を覚えています。