Re: MIT-Kerberos KDC: Tickets können nicht erneuert werden, da max. Verlängerungstermin = Ausstellungstermin [gelöst]
Danke für die Antwort, so etwas hatte ich schon probiert, das ist es
aber nicht. Ich habe die Lösung nun gefunden. Sie lautet:
kadmin.local: modprinc -maxlife "1 day" -maxrenewlife "90 day" \
krbtgt/EXAMPLE.COM@EXAMPLE.COM
Man hätte nur das Tutorial nur bis zum Ende lesen müssen, da steht alles
drin. Wer auch mal eine Umstellung eines KDC auf LDAP vor hat, dem kann
ich das folgende Tutorial nur empfehlen:
http://www.rjsystems.nl/en/2100-kerberos-openldap-provider.php#life
Viele Grüße
Sten
Am 28.01.2011 13:17, schrieb Lars Schimmer:
> On 2011-01-27 22:07, S. Kokel wrote:
>> Hallo Gruppe,
>>
>> ich schlage micht seit ein paar Tagen mit dem Aufziehen einer LDAP +
>> Kerberos Struktur für Nutzerverwaltung und Authentifizierung rum. Der
>> KDC speichert seine Informationen in LDAP. Alle Dienste laufen unter
>> testing. Funktioniert eigentlich alles ganz gut. Die vom KDC
>> ausgestellten Tickets sehen aber wie folgt aus:
>>
>> $ klist -f
>> Ticket cache: FILE:/tmp/krb5cc_1110_Wa4110
>> Default principal: sten@KOKEL.NET
>>
>> Valid starting Expires Service principal
>> 01/27/11 20:56:44 01/27/11 22:56:44 krbtgt/KOKEL.NET@KOKEL.NET
>> renew until 01/27/11 20:56:44, Flags: FPRIA
>> 01/27/11 21:43:34 01/27/11 22:56:44 nfs/storage.kokel.net@KOKEL.NET
>> renew until 01/27/11 20:56:44, Flags: FPRAT
>> $ krenew
>> krenew: error renewing credentials: Ticket expired
>>
>> Man beachte die Zeitangaben für "Valid starting" und "renew until" beim
>> TGT. Die sind identisch, d.h. das Ticket kann nicht erneuert werden. Ein
>> Aufruf von krenew bestätigt das mit der Meldung "Ticket expired".
>> Trotzdem ist des Ticket als renewable gekennzeicnet (R-Flag ist gesetzt).
>>
>> Auf dem KDC habe ich für den Realm KOKEL.NET folgende Zeitwerte und
>> Flags eingestellt:
>>
>> max_life = 2h 0m 0s
>> max_renewable_life = 30d 0h 0m 0s
>> default_principal_flags = +preauth
>>
>> Im LDAP sind die Attribute krbMaxRenewableAge und krbMaxTicketLife nicht
>> gesetzt. Auch wenn ich die setze zeigt das keine Wirkung.
>
> Versuche mal max_life auf 10h zu setzen und max_renewable auf 7d.
> So lief das jedenfalls hier mit dem OpenAFS mal zusammen.
>
>> Vielen Dank für jeden Hinweis!
>>
>> Sten
>>
>>
>
>
> MfG,
> Lars Schimmer
Reply to: