Pour cette discussion, nous allons créer un domaine MIT Kerberos avec les caractéristiques suivantes (les modifier en fonction de vos besoins) :

Before installing the Kerberos server a properly configured DNS server is needed for your domain. Since the Kerberos Realm by convention matches the domain name, this section uses the EXAMPLE.COM domain configured in Maitre primaire of the DNS documentation.

Also, Kerberos is a time sensitive protocol. So if the local system time between a client machine and the server differs by more than five minutes (by default), the workstation will not be able to authenticate. To correct the problem all hosts should have their time synchronized using the same Network Time Protocol (NTP) server. For details on setting up NTP see Synchronisation temporelle avec NTP.

La première étape dans la création d'un domaine Kerberos est d'installer les paquets krb5-kdc et krb5-admin-server. Dans un terminal saisissez :

sudo apt-get install krb5-kdc krb5-admin-server

You will be asked at the end of the install to supply the hostname for the Kerberos and Admin servers, which may or may not be the same server, for the realm.

Ensuite, créez le nouveau domaine à l'aide de l'utilitaire kdb5_newrealm :

sudo krb5_newrealm

The questions asked during installation are used to configure the /etc/krb5.conf file. If you need to adjust the Key Distribution Center (KDC) settings simply edit the file and restart the krb5-kdc daemon. If you need to reconfigure Kerberos from scratch, perhaps to change the realm name, you can do so by typing

sudo dpkg-reconfigure krb5-kdc

Votre nouveau domaine (realm) Kerberos est maintenant prêt à authentifier des clients.

Pour pouvoir s'authentifier sur un domaine Kerberos, les paquets krb5-user et libpam-krb5 sont nécessaires, ainsi que quelques autres qui ne sont pas obligatoires mais vous faciliteront la tâche. Pour installer ces paquets tapez la commande suivante dans un terminal :

sudo apt-get install krb5-user libpam-krb5 libpam-ccreds auth-client-config

Le paquet auth-client-config permet une configuration simple de PAM pour l'authentification depuis plusieurs sources. libpam-ccreds va mettre en cache les références de l'authentification pour vous permettre de vous connecter si le KDC (Key Distribution Center) n'est pas disponible. Ce paquet est également utile pour les portables qui s'identifient via Kerberos sur leur réseau professionnel, mais doivent également rester accessibles en dehors ce réseau.

Pour configurer le client, tapez dans un terminal :

sudo dpkg-reconfigure krb5-config

Il vous sera alors demandé de donner le nom du domaine Kerberos. Si vous n'avez pas de DNS configuré avec des enregistrements SRV Kerberos, le menu vous demandera le nom de l'hôte KDC et du serveur d'administration du domaine.

dpkg-reconfigure ajoute des entrées au fichier /etc/krb5.conf pour votre domaine. Vous devriez avoir des entrées similaires à :

[libdefaults]
        default_realm = EXEMPLE.COM
...
[realms]
        EXEMPLE.COM = {
                kdc = 192.168.0.1
                admin_server = 192.168.0.1
        }

# Kerberos should only be applied to ldap/kerberos users, not local ones.
for i in common-auth common-session common-account common-password; do
 sudo sed -i -r \ 
 -e 's/pam_krb5.so minimum_uid=1000/pam_krb5.so minimum_uid=5000/' \ 
 /etc/pam.d/$i 
done 

Vous pouvez tester la configuration en demandant un ticket à l'aide de kinit. Par exemple :

kinit steve@EXAMPLE.COM
Mot de passe pour steve@EXAMPLE.COM :

Lorsqu'un ticket a été accordé, les détails peuvent être affichés avec klist :

klist
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: steve@EXAMPLE.COM

Valid starting     Expires            Service principal
07/24/08 05:18:56  07/24/08 15:18:56  krbtgt/EXAMPLE.COM@EXAMPLE.COM
        renew until 07/25/08 05:18:57


Kerberos 4 ticket cache: /tmp/tkt1000
klist: You have no tickets cached

Ensuite, utilisez auth-client-config pour configurer le module libpam-krb5 pour demander un ticket lors de l'ouverture de session :

sudo auth-client-config -a -p kerberos_example

Vous devriez maintenant recevoir un ticket dès qu'une ouverture de session avec authentification est réussie.