ALT Linux Sisyphus discussions
 help / color / mirror / Atom feed
* [sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4
@ 2015-03-04  7:46 Gleb Kulikov
  2015-03-05  3:08 ` Вадим Илларионов
                   ` (2 more replies)
  0 siblings, 3 replies; 10+ messages in thread
From: Gleb Kulikov @ 2015-03-04  7:46 UTC (permalink / raw)
  To: sisyphus


Пытаюсь воспользоваться nfs4 в домене  Kerberos/ldap,

Домен настраивался штатными средствами.

Ничерта не получается и очевидно, моего слабого понимания механизма 
недостаточно :(

В хронологическом порядке:

1. Средствами альтератора, клиент введён в домен. Аутентификация заработала 
после ручной правки /etc/krb5.conf на клиенте с указанием домена и царства.

2. На сервере и клиенте вручную поправлен /etc/idmapd, в том числе (это 
оказалось необходимым!), вручную указан домен (Domain=) и (Local-Realms = )

2. На сервере прописан экспорт:

/etc/exports:


/export  *(ro,nohide,no_subtree_check,fsid=0,crossmnt)


/export/Archive 
gss/krb5(sec=krb5,insecure,rw,sync,no_subtree_check,crossmnt,fsid=2)

3. При попытке смонтировать на клиенте:

host-52 rpc.gssd[2330]: ERROR: Key table file '/etc/krb5.keytab' not found 
while beginning keytab scan for
keytab 'FILE:/etc/krb5.keytab'

host-52 rpc.gssd[2330]: ERROR: gssd_refresh_krb5_machine_credential: no usable 
keytab entry found in keytab
 /etc/krb5.keytab for connection with host athena77.testdom.org


host-52 rpc.gssd[2331]: ERROR: Key table file '/etc/krb5.keytab' not found 
while beginning keytab scan for
keytab 'FILE:/etc/krb5.keytab'

Что делать? Запустить на клиенте kadmin и создать nfs/athena77.testdom.org и 
host /athena77.testdom.org?

Но как? 
# kadmin

Authenticating as principal root/admin@TESTDOM.ORG with password.
kadmin: Missing parameters in krb5.conf required for kadmin client while 
initializing kadmin interface

что логично, 

kadmin.local, естественно, 
kadmin.local: Нет такого файла или каталога while initializing kadmin.local 
interface

Создать на сервере nfs/host-52... и host/host-52... и экспортировать в 
[клиент/etc/krb5.keytab] вместе с nfs/athena77... и host/athena77... ?

Но KVNO в экспортированном файле изменяется и аутенификация не проходит 
("Request ticket server nfs/athena77.testdom.org@TESTDOM.ORG kvno 3 not found 
in keytab; keytab is likely out of date")

Целиком перетащить krb5.keytab с сервера на клиента? Но тогда монтирование (от 
рута) проходит, но :

На клиенте: 

mount -vvv -t nfs4 athena77.testdom.org:/Archive /mnt/Ar -o intr
mount.nfs4: timeout set for Wed Mar  4 13:29:48 2015
mount.nfs4: trying text-based options 
'intr,vers=4.0,addr=192.168.10.36,clientaddr=192.168.10.34'
[root@host-52 etc]#

Mar  4 13:27:48 host-52 rpc.gssd[1914]: ERROR: No credentials found for 
connection to server athena77.testdom.org

На сервере:

Mar  4 13:27:32 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454052, etypes {rep=18 tkt=18 
ses=18}, nfs/athena77.testdom.org@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG

Mar  4 13:27:32 athena77 last message repeated 4 times

Mar  4 13:28:22 athena77 krb5kdc[26986]: TGS_REQ (9 etypes {18 17 16 23 25 26 
1 3 2}) 192.168.10.34: ISSUE: authtime 1425454102, etypes {rep=18 tkt=18 
ses=18}, gleb@TESTDOM.ORG
 for host/athena77.testdom.org@TESTDOM.ORG

Файловая система монтируется только для чтения :(

Пробую получить билет и смонтировать:

# 

kinit gleb

Password for gleb@TESTDOM.ORG: 

[root@host-52 syslog]# klist
Ticket cache: KEYRING:persistent:0:0
Default principal: gleb@TESTDOM.ORG

Valid starting       Expires              Service principal
04.03.2015 13:37:15  05.03.2015 13:37:07  krbtgt/TESTDOM.ORG@TESTDOM.ORG


На клиенте:

Mar  4 13:38:45 host-52 rpc.gssd[2008]: ERROR: No credentials found for 
connection to server athena77.testdom.org


На сервере:

Mar  4 13:37:07 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: NEEDED_PREAUTH: gleb@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG, Additio
nal pre-authentication required

Mar  4 13:37:15 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454635, etypes {rep=18 tkt=18 
ses=18}, gleb@TESTDOM.ORG
for krbtgt/TESTDOM.ORG@TESTDOM.ORG

Mar  4 13:38:29 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454709, etypes {rep=18 tkt=18 
ses=18}, nfs/athena77.testdom.org@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG

И фс доступна только для чтения.

Короче, я пас.

Помогите кто может (и кто не может :) !

PS: на сервере заведены принципалы

nfs/athena77.testdom.org (автоматически альтератором)
host/athena77.testdom.org (автоматически альтератором)

nfs/host-52.testdom.org (руками)
host/host-52.testdom.org (руками)

и  ldap-useradd -w -i host-52


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)


^ permalink raw reply	[flat|nested] 10+ messages in thread

end of thread, other threads:[~2015-03-11 10:22 UTC | newest]

Thread overview: 10+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2015-03-04  7:46 [sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4 Gleb Kulikov
2015-03-05  3:08 ` Вадим Илларионов
2015-03-05  3:34   ` Gleb Kulikov
2015-03-05  3:55     ` Вадим Илларионов
2015-03-05  5:12       ` Gleb Kulikov
2015-03-05  5:14 ` Gleb Kulikov
2015-03-10  9:50 ` [sisyphus] [Решено] " Gleb Kulikov
2015-03-11  2:48   ` REAL
2015-03-11  3:04     ` Gleb Kulikov
2015-03-11 10:22   ` [sisyphus] [Решено] " Michael Shigorin

ALT Linux Sisyphus discussions

This inbox may be cloned and mirrored by anyone:

	git clone --mirror http://lore.altlinux.org/sisyphus/0 sisyphus/git/0.git

	# If you have public-inbox 1.1+ installed, you may
	# initialize and index your mirror using the following commands:
	public-inbox-init -V2 sisyphus sisyphus/ http://lore.altlinux.org/sisyphus \
		sisyphus@altlinux.ru sisyphus@altlinux.org sisyphus@lists.altlinux.org sisyphus@lists.altlinux.ru sisyphus@lists.altlinux.com sisyphus@linuxteam.iplabs.ru sisyphus@list.linux-os.ru
	public-inbox-index sisyphus

Example config snippet for mirrors.
Newsgroup available over NNTP:
	nntp://lore.altlinux.org/org.altlinux.lists.sisyphus


AGPL code for this site: git clone https://public-inbox.org/public-inbox.git