web-dev-qa-db-ja.com

Kerberosプリンシパルから暗号化タイプを削除するにはどうすればよいですか？

以下のプリンシパルからすべてのdesキーを削除したいのですが、誰かがパスワードを入力しないとどうすればよいかわかりません。

kadmin:  getprinc user
Principal: [email protected]
Expiration date: [never]
Last password change: Thu May 26 08:52:51 PDT 2013
Password expiration date: [none]
Maximum ticket life: 0 days 12:00:00
Maximum renewable life: 7 days 00:00:00
Last modified: Tue Jul 16 15:17:18 PDT 2013 (administrator/[email protected])
Last successful authentication: Wed Jul 24 14:40:53 PDT 2013
Last failed authentication: [never]
Failed password attempts: 0
Number of keys: 8
Key: vno 3, aes256-cts-hmac-sha1-96, no salt
Key: vno 3, arcfour-hmac, no salt
Key: vno 3, des3-cbc-sha1, no salt
Key: vno 3, des-cbc-crc, no salt
Key: vno 3, des-cbc-md5, no salt
Key: vno 3, des-cbc-md5, Version 5 - No Realm
Key: vno 3, des-cbc-md5, Version 5 - Realm Only
Key: vno 3, des-cbc-md5, AFS version 3
MKey: vno 2
Attributes: REQUIRES_PRE_AUTH
Policy: [none]

また、kdcはOpenLDAPバックエンドを使用しています。

kerberosmitkerberos
2
84104

MIT kerberosコードでこれを行う簡単な方法はないと思います。del_enctypeはkadminコマンドの1つであるため、heimdalでは簡単です。

私が知る限り、標準MITでそれを行う唯一の方法は、kdcデータベースをダンプし、問題のあるキータイプを削除してデータベースをリロードすることです。バックエンドストアはOpenLdapであるため、アクセスできる場合LDAPサーバーのルートDNに対して、LDAPデータベースで個々のキー値を見つけて削除できる場合があります。

スキーマはここにリストされています

http://k5wiki.kerberos.org/wiki/Kerberos.schema

マスターキーで復号化せずに、これのenctypeを理解できるかどうかは私にはわかりません。

attributetype ( 2.16.840.1.113719.1.301.4.39.1
            NAME 'krbPrincipalKey'
            EQUALITY octetStringMatch
            SYNTAX 1.3.6.1.4.1.1466.115.121.1.40)
2
Fred the Magic Wonder Dog