Re: NFSv4,Kerberos, PAM und SSH
Hallo,
> > Ich habe eine kleine Testumgebung für NFSv4 in Kombination mit
> > Kerberos-Auhentifizierung aufgebaut. Im Prinzip funktioniert. Da ich
> > den Benutzern die Benutzung von kinit direkt nach dem Einloggen
> > ersparen will, benutze ich das PAM-Modul pam_krb5.so in
> > /etc/pam.d/common-auth. Leider kann sich aber ein Benutzer nur bei
> > einem lokalen Login auf einem Rechner per Kerberos-Passwort
> > erfolgreich anmelden und auch sofort auf sein Home-Verzeichnis
> > zugreifen. Bei einem Remote-Login per ssh funktioniert zwar das
> > Einloggen, aber nicht der Zugriff auf das Home-Verzeichnis
> > (Permission denied).
>
> ehm, so was wollte ich auch mal bauen. An welcher Doku hast du dich
> orientiert? Das was ich habe ist zur Zeit irgendwie widersprüchlich.
Ich habe mich an http://www.citi.umich.edu/projects/nfsv4/linux/
orientiert.
Zuerst habe ich den Kernel 2.6.12 mit den bei CITI (siehe Link oben) zur
Verfügung stehenden Patches versorgt, kompiliert und auf Server und
Client installiert. Dann habe ich auf beiden Rechnern folgende Zeile zu
/etc/apt/sources.list hinzugefügt, wie unten auf
http://www.citi.umich.edu/projects/nfsv4/linux/user-build.html
beschrieben:
deb http://www.citi.umich.edu/projects/nfsv4/debian unstable main
Dann apt-get update; apt-get dist-upgrade.
Dann habe ich - wie auf
http://www.citi.umich.edu/projects/nfsv4/linux/using-nfsv4.html
beschrieben - die notwendigen Verzeichnisse (v4recovery,rpc_pipefs)
angelegt. Die Einträge in der fstab sind gar nicht nötig, die Mounts
werden schon durch die NFS-Startskripte vorgenommen. Dann habe ich die
exports-Datei angelegt.
Dann habe ich auf dem NFS-Server die Pakete krb5-admin-server, krb5-kdc
und krb5-config installiert und konfiguriert, auf dem Client die Pakete
krb5-config und krb5-user. Dann habe ich NFS-Server und NFS-Client zu
Kerberos hinzugefügt, wie auf
http://www.citi.umich.edu/projects/nfsv4/linux/krb5-setup.html
beschrieben. Danach habe ich noch einen Benutzer zu Kerberos
hinzugefügt, auch mit addprinc.
Danach konnte ich dann das Verzeichnis mounten und als Benutzer nach
einem "kinit user@REALM" auch darauf zugreifen.
Ich hoffe, dass Dir das erstmal hilft. Falls es Probleme gibt, kannst Du
mich gerne fragen.
Christoph
Reply to: