主页 / server / 问题 / 1005599
Accepted
comfix
Asked: 2020-03-05 10:40:21 +0800 CST

MIT Kerberos 更新生命周期不起作用

  • 772

我试图弄清楚为什么我的门票只能获得 0 天的可再生寿命，而不是我指定的 7 天。

我尝试在我的 krb5.conf 和 kdc.conf 中同时设置max_renewable_life（如另一个问题所示）以及renew_lifetime7 天（7d和856800），但这不起作用。我已将它们设置在[realms](krb5/kdc) 和[libdefaults](krb5) 下，但守护进程似乎忽略了此设置。但是ticket_lifetime有效。

我运行了以下命令（编辑了不必要的输出）：

$ kinit -r 20m -l 10m PRINCIPAL
$ klist -f
Valid starting       Expires              Service principal
04.03.2020 19:18:46  04.03.2020 19:28:44  krbtgt/REALM@REALM
    renew until 04.03.2020 19:18:46, Flags: RIA

正如你所看到的 kinit 的最大寿命就像一个魅力，但更新不会做任何事情。

令我沮丧的是，我也将这些设置在客户端上，但没有运气。我知道maxlife校长的情况并将其设置为 7 天，但这对我也不起作用。

如果有帮助：我正在运行 FreeBSD (FreeNAS) 并自己编译了 kerberos。是否有其他设置可以使用，或者是否有我需要设置的编译时间选项？

编辑1：

$ kadmin                                                                       
kadmin:  getprinc comfix
Principal: comfix@REALM
Expiration date: [never]
Last password change: Mi Mär 04 21:00:00 CET 2020
Password expiration date: [never]
Maximum ticket life: 0 days 10:00:00
Maximum renewable life: 7 days 00:00:00
Last modified: Mi Mär 04 21:02:47 CET 2020 (comfix/admin@REALM)
Last successful authentication: Mi Mär 04 22:14:13 CET 2020
Last failed authentication: [never]
Failed password attempts: 0
Number of keys: 2
Key: vno 1, aes256-cts-hmac-sha1-96
Key: vno 1, aes128-cts-hmac-sha1-96
MKey: vno 1
Attributes: REQUIRES_PRE_AUTH DISALLOW_SVR
Policy: [none]
freebsd kerberos truenas mitkerberos renew

1 个回答

  1. Best Answer

    解决方案：

    有 4 个设置（准确地说是 5 个，但第 5 个是kinit -r TIME参数本身），其中取最小值：

    1. krb5.conf：REALM = { max_renewable_life = 7d }
    2. kdc.conf：REALM = { max_renewable_life = 7d }
    3. 校长@领域：Maximum renewable life: 7 days 00:00:00* [1]
    4. krbtgt/REALM@REALM: Maximum renewable life: 7 days 00:00:00*[1]

    [1]（modprinc -maxrenewlife PRINCIPAL在 kadmin 中设置）

    我忘记/不知道第四个。在我设置更新生命后，一切都按预期工作。我想，当我创建领域时，参数kdc.conf并krb5.conf没有设置，Kerberos 默认为 0 秒......

    • 1

相关问题