☰

krb5 / ldap: 영역 이름이 디렉터리 namingContext와 일치합니다.

tag-icon • tag-icon ldap kerberos
krb5 / ldap: 영역 이름이 디렉터리 namingContext와 일치합니다.

LDAP에 krb5 주체 항목을 저장하려면 영역 이름과 일치하는 LDAP 명명 컨텍스트(루트 기본 이름)가 필요합니까?

왕국의 교장

HQ.EXAMPLE.ORG

에 저장할 수 있습니다.

dc=예, dc=org

디렉토리 트리의 명명 컨텍스트?

답변1

이름이 전혀 일치할 필요는 없습니다. 권한만 제대로 받으면 됩니다.

이상적인 것은 아니지만 다음은 이 개념의 실제적인 예입니다.

$ ldapsearch -Q -LLL -h ldap1.example.com -b cn=krbcontainer -s one objectclass @krbRealmContainer
dn: cn=EXAMPLE.COM,cn=krbContainer
cn: EXAMPLE.COM
objectClass: top
objectClass: krbRealmContainer
objectClass: krbTicketPolicyAux
krbSubTrees: ou=people,dc=example,dc=com

dn: cn=kadmin-service,cn=krbContainer
objectClass: krbKdcService
objectClass: simpleSecurityObject
cn: kadmin-service

dn: cn=kdc-service,cn=krbContainer
objectClass: krbKdcService
objectClass: simpleSecurityObject
cn: kdc-service



ldap1 ~ # cat /etc/krb5.conf
#krb5.conf
[libdefaults]

[realms]
EXMAPLE.COM = {
        admin_server = ldap1.example.com
        kdc = ldap1.example.com
        database_module = openldap_ldapconf
}

[logging]
kdc = SYSLOG:INFO:AUTH
admin_server = SYSLOG:INFO:AUTH

[dbdefaults]
ldap_kerberos_container_dn = cn=krbContainer

[dbmodules]
openldap_ldapconf = {
        db_library = ldap
        ldap_kerberos_container_dn = cn=krbContainer
        ldap_kdc_dn = "cn=kdc-service,cn=krbContainer"
        # this object needs to have read rights on
        # the realm container and principal subtrees
        ldap_kadmind_dn = "cn=kadmin-service,cn=krbContainer"
        # this object needs to have read and write rights on
        # the realm container and principal subtrees
        ldap_service_password_file = /etc/krb5kdc.keyfile
        ldap_servers = ldapi:///
        ldap_conns_per_server = 5
}

관련 정보