Сброс максимальной загрузки билета на кебероше более 24 часов

Question

Я использую MIT kerberos 5 на своей машине для аутентификации пользователя. Это предоставляет билет пользователю. Я хочу сбросить максимальную продолжительность билета более 24 часов. По умолчанию максимальный срок службы кебероса составляет 24 часа. Я попытался следующие шаги:

1. изменивших /var/kerberos/krb5kdc/kdc.conf я не нашел Макс-жизни, так что я установить max_life = 168h 0m 0s
2. Изменен /etc/krb5.conf Изменены ticket_lifetime по умолчанию с 24 часов до ticket_lifetime = 168h 0m 0s
3. По умолчанию основной срок службы - максимальный срок службы: 1 день 00:00:00

4. Я сменил его на 168h с помощью следующей команды

   kadmin.local: modify_principal -maxlife 168hours testkerb 
   

5. Это изменено - Максимальный срок службы билета: 7 дней 00:00:00

6. Тогда я сделал kinit для пользователя и проверить с klist.

Результат klist по-прежнему показывает срок службы билета как 24 часа. Выход klist выглядит следующим образом:

Valid starting  Expires   Service principal 
**11/19/14 12:51:59 11/20/14 12:51:59 krbtgt/EXAMPLE.COM@EXAMPLE.COM** 
    renew until 11/19/14 12:51:59 

Если кто-то знает, пожалуйста, скажите мне, где я делаю ошибку. Менее чем за 24 часа я могу изменить срок службы билета, но более 24 часов он не отражает в klist. Я был бы признателен за помощь.

Answer 1

Привет, я получил рабочий шаг, обновив его. Для того, чтобы изменить максимальный срок службы-билета в Керберосе от дефолта 24 часа до более чем 24 часов выполнить следующие шаги:

1. Добавить max_life свойства в файл /var/kerberos/krb5kdc/kdc.conf.

   max_life = 168h 0m 0s 
   

2. Измененный файл /etc/krb5.conf.

   ticket_lifetime = 168h 0m 0s 
   

3. Изменено принципала по умолчанию krbtgt/EXAMPLE.COM@EXAMPLE.COM Maximum Life Time.

   modprinc -maxlife 168hours krbtgt/EXAMPLE.COM@EXAMPLE.COM 
   

Теперь мы можем установить срок билет до 7 дней т.е. 168 часов. Мы можем сделать kinit для пользователя и проверить истечение срока действия билета на klist.

Вы также можете использовать команду kadmin и getprinc, чтобы увидеть состояние принципала.

kadmin: getprinc krbtgt/EXAMPLE.COM@EXAMPLE.COM 
Principal: krbtgt/EXAMPLE.COM@EXAMPLE.COM 
Expiration date: [never] 
Last password change: Thu Jan 05 15:23:04 EST 2017 
Password expiration date: [none] 
Maximum ticket life: 0 days 168:00:00 
Maximum renewable life: 7 days 00:00:00 
Last modified: Fri Jun 30 08:23:23 EDT 2017 (root/admin@EXAMPLE.COM) 
Last successful authentication: Fri Jun 30 08:16:47 EDT 2017 
Last failed authentication: [never] 
Failed password attempts: 0 
Number of keys: 4 
Key: vno 3, arcfour-hmac, no salt 
Key: vno 3, des3-cbc-sha1, no salt 
Key: vno 3, des-cbc-crc, no salt 
Key: vno 3, aes256-cts-hmac-sha1-96, no salt 
MKey: vno 1 
Attributes: REQUIRES_PRE_AUTH 
Policy: [none]