Inicialização automática de tíquetes kerberos no login

Estou usando ksshaskpasspara adicionar minhas chaves protegidas por senha ssh-agentao fazer login no KDE. Existe algo semelhante para o kerberos?

kde login kerberos

— Šimon Tóth
fonte

Respostas:

Gostaria de usar o pam-krb5 .

No Debian e Ubuntu, deveria ser apt-get install libpam-krb5.

A configuração do PAM se pareceria com:

auth required pam_unix.so
auth optional pam_krb5.so try_first_pass

auth required pam_unix.so
auth optional pam_krb5.so use_first_pass

no /etc/pam.d/common-auth.

Ele pega a senha que você usou para autenticar localmente, por exemplo, a senha /etc/shadowe tenta usar a mesma que a sua senha do Kerberos.

Se sua senha do Kerberos for a mesma que a senha do sistema, você não precisará digitá-la novamente.

Se sua senha do Kerberos for diferente da senha do sistema, o que acontecerá depende se você usou try_first_passou use_first_pass:

try_first_pass solicitará sua senha Kerberos
use_first_passnão vai perguntar, mas você terá que se controlar kinitmais tarde

Observe que isso provavelmente também torna o ksshaskpass redundante, porque você também pode ter:

auth required pam_unix.so
auth optional pam_ssh.so try_first_pass
auth optional pam_krb5.so try_first_pass

No Debian e Ubuntu, isso requer a instalação da libpam-ssh .

— Mikel
fonte

Sim, eu sei disso, mas gostaria de uma solução que funcione com senhas diferentes.

— Šimon Tóth

@Let_Me_Be: Você pode elaborar? try_first_passou nenhuma opção deve funcionar nesse caso.

— 28611 Mikel

Como isso funcionaria se meu nome de usuário do kerberos fosse diferente do nome de usuário local? Por exemplo, gertversus gertvdijk.

— gertvdijk

Seria ótimo ter parentes usando um chaveiro, alguém sabe sobre algo assim?

— Dave

Normalmente, o Kerberos seria integrado ao PAM pam_krb5.so. Ele tentará adquirir um tíquete Kerberos com base no seu nome de usuário e na senha que você fornecer. Ele também pode ser usado para verificar se você tem permissão para fazer login, mas isso pode ser configurado para ignorar se você deseja apenas o ticket. Ele precisa ser adicionado como um módulo de autenticação e de sessão, provavelmente também como senha, se você planeja manter sua senha do Kerberos sincronizada com a área de trabalho. Se você planeja usar o Kerberos para verificar o logon de um usuário, também deve configurar seu arquivo keytab em /etc/krb5.keytab com uma chave para host/hostname.example.com@EXAMPLE.COM substitua hostname e example.com conforme apropriado para seu ambiente.

— penguin359
fonte