web-dev-qa-db-ja.com

FreeIPA：コマンドラインツールが機能しない、「使用可能なKerberos資格情報がない」

FreeIPAのインストールが機能しており、2月から運用中です。ほとんどすべてが期待どおりに機能しますが、コマンドラインのFreeIPA関連のツールを実行しようとしても、どれも機能しません。

[admin@ipa ~]$ kinit admin
Password for [email protected]: 
[admin@ipa ~]$ klist
Ticket cache: KEYRING:persistent:8800000
Default principal: [email protected]

Valid starting       Expires              Service principal
06/30/2014 21:19:30  07/01/2014 21:19:12  krbtgt/[email protected]
[admin@ipa ~]$ ipa pwpolicy-show global_policy
ipa: ERROR: Kerberos error: ('Unspecified GSS failure.  Minor code may provide more information', 851968)/('No Kerberos credentials available', -1765328243)
[admin@ipa ~]$

私はKerberosのエキスパートではないので、何をチェックすればよいのか本当にわかりません。これをデバッグして解決するにはどうすればよいですか？

pdate：-vvを追加すると、次のようになります。

[admin@ipa ~]$ ipa -vv pwpolicy-show global_policy
ipa: INFO: trying https://ipa.example.com/ipa/xml
ipa: INFO: Forwarding 'pwpolicy_show' to server 'https://ipa.example.com/ipa/xml'
ipa: ERROR: Kerberos error: ('Unspecified GSS failure.  Minor code may provide more information', 851968)/('No Kerberos credentials available', -1765328243)
[admin@ipa ~]$

pdate 2：/etc/krb5.confの内容は次のとおりです。

includedir /var/lib/sss/pubconf/krb5.include.d/

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = EXAMPLE.COM
 dns_lookup_realm = false
 dns_lookup_kdc = true
 rdns = false
 ticket_lifetime = 24h
 forwardable = yes
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 EXAMPLE.COM = {
  kdc = ipa.example.com:88
  master_kdc = ipa.example.com:88
  admin_server = ipa.example.com:749
  default_domain = example.com
  pkinit_anchors = FILE:/etc/ipa/ca.crt
}

[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

[dbmodules]
  EXAMPLE.COM = {
    db_library = ipadb.so
  }

pdate 3：これは単一サーバーインストールで、ディストリビューションはFedora 19で、FreeIPAバージョンは3.3.5です。

kerberosfreeipa
4
Alex

私のライブFreeIPA（Fedora 20上）と比較した構成で見られる主な違いは、カーネルキーリングをチケットキャッシュとして使用しないことです。

 default_ccache_name = KEYRING:persistent:%{uid}

ぼくの /etc/krb5.confはこれをまったく指定しないため、デフォルトのFILEが使用されます。これを削除すると、もう一度やり直すことができます。

Matthew Ifeがコメントで指摘しているように、カーネルのキーリングはより安全であり、（最終的には）進むべき道ですが、現在のところ、運用環境で使用するには十分安定していないようです。これをバグとしてFedoraに報告したいかもしれません。

3
Michael Hampton