Dotaz: kerberos: nejde mi nastavit max_life

[Dvořák]

Nastavil jsem kerberos podle návodu zde na abclinuxu ale uživatel dostane TGT s platností pouze na 1 hodinu. Při žádosti můžu platnost zkrátit, ale prodloužit mi nejde.

dvorak@zoro:~> kinit dvorak
Password for dvorak@LOCALINZEP.CZ:
dvorak@zoro:~> klist
Ticket cache: FILE:/tmp/krb5cc_1010_9QWRsd
Default principal: dvorak@LOCALINZEP.CZ

Valid starting     Expires            Service principal
01/14/09 15:31:52  01/14/09 16:31:52  krbtgt/LOCALINZEP.CZ@LOCALINZEP.CZ
        renew until 01/14/09 16:31:52

Kerberos 4 ticket cache: /tmp/tkt1010
klist: You have no tickets cached

Konfiguráky:
/etc/krb5.conf

[realms]
LOCALINZEP.CZ = {
kdc = ltsp.localinzep.cz:88
admin_server = ltsp.localinzep.cz:749
default_domain = localinzep.cz
}

[domain_realm]
.localinzep.cz = LOCALINZEP.CZ
localinzep.cz = LOCALINZEP.CZ

[libdefaults]
default_realm = LOCALINZEP.CZ
dns_lookup_realm = false
dns_lookup_kdc = false
forwardable = yes

[kdc]
profile = /var/lib/kerberos/krb5kdc/kdc.conf

[logging]
default = FILE:/var/log/krb5/krb5libs.log
kdc = FILE:/var/log/krb5/krb5kdc.log
admin_server = FILE:/var/log/krb5/kadmind.log

[appdefaults]
pam = {
        ticket_lifetime = 12h
        renew_lifetime = 7d
        forwardable = true
        proxiable = false
        minimum_uid = 1
        addressless = false
        clockskew = 300
        debug = false
        debug_sensitive = false
        existing_ticket = false
        external = sshd
        initial_prompt = false
        subsequent_prompt = false
        use_shmem = sshd
        validate = false
}

/var/lib/kerberos/krb5kdc/kdc.conf

[kdcdefaults]
kdc_ports = 750,88
acl_file = /var/lib/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/lib/kerberos/krb5kdc/kadm5.keytab

[realms]
LOCALINZEP.CZ = {
master_key_type = des3-hmac-sha1
supported_enctypes = des3-hmac-sha1:normal des-cbc-crc:normal
profile = /etc/krb5.conf
default_principal_flags = +postdateable +forwardable +renewable +proxiable +dup-skey -preauth -hwauth +service +tgt-based +allow-tickets -pwchange -pwservice
database_name = /var/lib/kerberos/krb5kdc/principal
admin_database_name = /var/lib/kerberos/krb5kdc/kadm5_adb
admin_database_lockfile = /var/lib/kerberos/krb5kdc/kadm5_adb.lock
admin_keytab = FILE:/var/lib/kerberos/krb5kdc/kadm5.keytab
acl_file = /var/lib/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
key_stash_file = /var/lib/kerberos/krb5kdc/.k5.LOCALINZEP.CZ

kdc_ports = 750,88
kadmind_port = 749

max_life = 12h 0m 0s
max_renewable_life = 7d 0h 0m 0s
}

[logging]
#       kdc = FILE:/var/log/krb5/krb5kdc.log
        admin_server = FILE:/var/log/krb5/kadmind.log

Principal:

kadmin:  getprinc dvorak
Principal: dvorak@LOCALINZEP.CZ
Expiration date: [never]
Last password change: Fri Jan 09 12:26:10 CET 2009
Password expiration date: [none]
Maximum ticket life: 0 days 10:00:00
Maximum renewable life: 7 days 00:00:00
Last modified: Fri Jan 09 12:26:10 CET 2009 (krbadmin/admin@LOCALINZEP.CZ)
Last successful authentication: [never]
Last failed authentication: [never]
Failed password attempts: 0
Number of keys: 2
Key: vno 1, Triple DES cbc mode with HMAC/sha1, no salt
Key: vno 1, DES cbc mode with CRC-32, no salt
Attributes:
Policy: [none]

Nevím, kde jinde by se ještě max_life mohl dát nastavit. Poněkud mě zaráží, že je proměnná
Last successful authentication nastavena na [never] - jako kdybych se ještě nikdy nepřihlásil.
Děkuji za radu.
Zdeněk
 

 

Odpovědi

[Dvořák]

Tak jsem to vyřešil tak, že jsem smazal databázi a vytvořil jsem ji znova. A začalo to fungovat správně.

Při vytváření databáze jsem měl v konfiguračních souborech defaultně nastavenou hodnotu na 1 hodinu. Ta se zřejmě zapíše do databáze a změnou konfigurace se už asi nemění.