[sisyphus] Прошу помощи клуба! Kerberos/ldap + nfs4

[Gleb Kulikov <glebus@asd.iao.ru>]

Пытаюсь воспользоваться nfs4 в домене  Kerberos/ldap,

Домен настраивался штатными средствами.

Ничерта не получается и очевидно, моего слабого понимания механизма 
недостаточно :(

В хронологическом порядке:

1. Средствами альтератора, клиент введён в домен. Аутентификация заработала 
после ручной правки /etc/krb5.conf на клиенте с указанием домена и царства.

2. На сервере и клиенте вручную поправлен /etc/idmapd, в том числе (это 
оказалось необходимым!), вручную указан домен (Domain=) и (Local-Realms = )

2. На сервере прописан экспорт:

/etc/exports:


/export  *(ro,nohide,no_subtree_check,fsid=0,crossmnt)


/export/Archive 
gss/krb5(sec=krb5,insecure,rw,sync,no_subtree_check,crossmnt,fsid=2)

3. При попытке смонтировать на клиенте:

host-52 rpc.gssd[2330]: ERROR: Key table file '/etc/krb5.keytab' not found 
while beginning keytab scan for
keytab 'FILE:/etc/krb5.keytab'

host-52 rpc.gssd[2330]: ERROR: gssd_refresh_krb5_machine_credential: no usable 
keytab entry found in keytab
 /etc/krb5.keytab for connection with host athena77.testdom.org


host-52 rpc.gssd[2331]: ERROR: Key table file '/etc/krb5.keytab' not found 
while beginning keytab scan for
keytab 'FILE:/etc/krb5.keytab'

Что делать? Запустить на клиенте kadmin и создать nfs/athena77.testdom.org и 
host /athena77.testdom.org?

Но как? 
# kadmin

Authenticating as principal root/admin@TESTDOM.ORG with password.
kadmin: Missing parameters in krb5.conf required for kadmin client while 
initializing kadmin interface

что логично, 

kadmin.local, естественно, 
kadmin.local: Нет такого файла или каталога while initializing kadmin.local 
interface

Создать на сервере nfs/host-52... и host/host-52... и экспортировать в 
[клиент/etc/krb5.keytab] вместе с nfs/athena77... и host/athena77... ?

Но KVNO в экспортированном файле изменяется и аутенификация не проходит 
("Request ticket server nfs/athena77.testdom.org@TESTDOM.ORG kvno 3 not found 
in keytab; keytab is likely out of date")

Целиком перетащить krb5.keytab с сервера на клиента? Но тогда монтирование (от 
рута) проходит, но :

На клиенте: 

mount -vvv -t nfs4 athena77.testdom.org:/Archive /mnt/Ar -o intr
mount.nfs4: timeout set for Wed Mar  4 13:29:48 2015
mount.nfs4: trying text-based options 
'intr,vers=4.0,addr=192.168.10.36,clientaddr=192.168.10.34'
[root@host-52 etc]#

Mar  4 13:27:48 host-52 rpc.gssd[1914]: ERROR: No credentials found for 
connection to server athena77.testdom.org

На сервере:

Mar  4 13:27:32 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454052, etypes {rep=18 tkt=18 
ses=18}, nfs/athena77.testdom.org@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG

Mar  4 13:27:32 athena77 last message repeated 4 times

Mar  4 13:28:22 athena77 krb5kdc[26986]: TGS_REQ (9 etypes {18 17 16 23 25 26 
1 3 2}) 192.168.10.34: ISSUE: authtime 1425454102, etypes {rep=18 tkt=18 
ses=18}, gleb@TESTDOM.ORG
 for host/athena77.testdom.org@TESTDOM.ORG

Файловая система монтируется только для чтения :(

Пробую получить билет и смонтировать:

# 

kinit gleb

Password for gleb@TESTDOM.ORG: 

[root@host-52 syslog]# klist
Ticket cache: KEYRING:persistent:0:0
Default principal: gleb@TESTDOM.ORG

Valid starting       Expires              Service principal
04.03.2015 13:37:15  05.03.2015 13:37:07  krbtgt/TESTDOM.ORG@TESTDOM.ORG


На клиенте:

Mar  4 13:38:45 host-52 rpc.gssd[2008]: ERROR: No credentials found for 
connection to server athena77.testdom.org


На сервере:

Mar  4 13:37:07 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: NEEDED_PREAUTH: gleb@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG, Additio
nal pre-authentication required

Mar  4 13:37:15 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454635, etypes {rep=18 tkt=18 
ses=18}, gleb@TESTDOM.ORG
for krbtgt/TESTDOM.ORG@TESTDOM.ORG

Mar  4 13:38:29 athena77 krb5kdc[26986]: AS_REQ (9 etypes {18 17 16 23 25 26 1 
3 2}) 192.168.10.34: ISSUE: authtime 1425454709, etypes {rep=18 tkt=18 
ses=18}, nfs/athena77.testdom.org@TESTDOM.ORG for 
krbtgt/TESTDOM.ORG@TESTDOM.ORG

И фс доступна только для чтения.

Короче, я пас.

Помогите кто может (и кто не может :) !

PS: на сервере заведены принципалы

nfs/athena77.testdom.org (автоматически альтератором)
host/athena77.testdom.org (автоматически альтератором)

nfs/host-52.testdom.org (руками)
host/host-52.testdom.org (руками)

и  ldap-useradd -w -i host-52


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)