web-dev-qa-db-ja.com

Kerberosログインを実行できません

Kerberosログインができません。

rsyslogを微調整して*.debugを/var/log/debugに記録しました。その出力は以下のとおりです。

sshでログインしようとすると、次のようになります。

Jun  6 23:13:05 foo-machine sshd[13965]: Invalid user roy from 204.28.116.34
Jun  6 23:13:05 foo-machine sshd[13965]: input_userauth_request: invalid user roy [preauth]
Jun  6 23:13:06 foo-machine sshd[13965]: pam_krb5(sshd:auth): pam_sm_authenticate: entry (nonull)
Jun  6 23:13:06 foo-machine sshd[13965]: pam_krb5(sshd:auth): (user roy) attempting authentication as [email protected]
Jun  6 23:13:06 foo-machine sshd[13965]: pam_krb5(sshd:auth): (user roy) krb5_get_init_creds_password: Decrypt integrity check failed
Jun  6 23:13:06 foo-machine sshd[13965]: pam_krb5(sshd:auth): authentication failure; logname=roy uid=0 euid=0 tty=ssh ruser= rhost=204.28.116.34
Jun  6 23:13:06 foo-machine sshd[13965]: pam_krb5(sshd:auth): pam_sm_authenticate: exit (failure)
Jun  6 23:13:06 foo-machine sshd[13965]: pam_unix(sshd:auth): check pass; user unknown
Jun  6 23:13:06 foo-machine sshd[13965]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=204.28.116.34
Jun  6 23:13:06 foo-machine sshd[13965]: Libgcrypt warning: missing initialization - please fix the application
Jun  6 23:13:07 foo-machine sshd[13965]: Failed password for invalid user roy from 204.28.116.34 port 30760 ssh2

（「復号化の整合性チェックに失敗しました」は「パスワードが正しくありません」を意味することをよく知っています。指定したパスワードは正しいです。）

loginでログインしようとすると、次のようになります。

Jun  6 22:55:58 foo-machine login[13003]: pam_krb5(login:auth): pam_sm_authenticate: entry
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:auth): (user roy) attempting authentication as [email protected]
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:auth): user roy authenticated as [email protected]
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:auth): (user roy) temporarily storing credentials in /tmp/krb5cc_pam_98AyqH
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:auth): pam_sm_authenticate: exit (success)
Jun  6 22:56:00 foo-machine login[13003]: Libgcrypt warning: missing initialization - please fix the application
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:account): pam_sm_acct_mgmt: entry
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:account): (user roy) retrieving principal from cache
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:account): pam_sm_acct_mgmt: exit (success)
Jun  6 22:56:00 foo-machine login[13003]: pam_mail(login:session): user unknown
Jun  6 22:56:00 foo-machine login[13003]: pam_umask(login:session): account for roy not found
Jun  6 22:56:00 foo-machine login[13003]: pam_krb5(login:session): (user roy) getpwnam failed for roy
Jun  6 22:56:00 foo-machine login[13003]: pam_unix(login:session): session opened for user roy by root(uid=0)
Jun  6 22:56:00 foo-machine login[13003]: User not known to the underlying authentication module

kinitで認証しようとすると、すべてうまくいきます。

# kinit -V [email protected]
Using default cache: /tmp/krb5cc_0
Using principal: [email protected]
Password for [email protected]:
Authenticated to Kerberos v5
#

/etc/pam.d/common-account：

# here are the per-package modules (the "Primary" block)
account [success=2 new_authtok_reqd=done default=ignore]        pam_krb5.so minimum_uid=1000 debug
account [success=1 new_authtok_reqd=done default=ignore]        pam_unix.so
# here's the fallback if no module succeeds
account requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
account required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
# end of pam-auth-update config

ここで変更を加えたことに注意してください。 account ... pam_krb5は以前は「追加ブロック」に含まれていましたが、pam_denyがrequisiteに設定されていることを考えると、pam_krb5に到達する方法がわかりませんでした。したがって、私はそれを上に移動しました。次の2つのファイルは私が変更していません：

/etc/pam.d/common-auth：

# here are the per-package modules (the "Primary" block)
auth    [success=4 default=ignore]      pam_krb5.so minimum_uid=1000 debug
auth    [success=3 default=ignore]      pam_unix.so nullok_secure try_first_pass
auth    [success=2 default=ignore]      pam_ccreds.so minimum_uid=1000 action=validate use_first_pass
auth    [default=ignore]                pam_ccreds.so minimum_uid=1000 action=update
# here's the fallback if no module succeeds
auth    requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
auth    required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
auth    optional                        pam_ccreds.so minimum_uid=1000 action=store
auth    optional                        pam_cap.so
# end of pam-auth-update config

/etc/pam.d/common-session：

# here are the per-package modules (the "Primary" block)
session [default=1]                     pam_permit.so
# here's the fallback if no module succeeds
session requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
session required                        pam_permit.so
# The pam_umask module will set the umask according to the system default in
# /etc/login.defs and user settings, solving the problem of different
# umask settings with different shells, display managers, remote sessions etc.
# See "man pam_umask".
session optional                        pam_umask.so
# and here are more per-package modules (the "Additional" block)
session [success=1 default=ignore]      pam_krb5.so minimum_uid=1000
session required        pam_unix.so
session optional        pam_systemd.so
# end of pam-auth-update config

マイナーな補足として、Apache DSは私のLDAPおよびKDCサーバーです。（/etc/krb5.confはそれを指します。）（OpenLDAP /「通常の」Kerberosが証明したように設定できません; Apacheは簡単でしたが、残念ながら、それでも機能しません。）

なぜログインできないのですか？

linuxloginpamkerberosapacheds
1
Thanatos

SSHサーバーはKerberos用に構成されていますか？例えば。

KerberosAuthentication yes
KerberosTicketCleanup yes
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
UseDNS yes

上記のように、SSHは、Kerberosチケット（クライアント側でkinitを使用して取得できます）を提示するのではなく、資格情報を使用してログインしようとしています。確かに、上で指摘したように、kinitはクライアントで機能します。これは良いことです。 SSH/SSHDデバッグログを投稿できますか？

1
SorinS