Machines mises en place
Une description de l'architecture mise en place et des acteurs du système.
Installation et configuration du serveur Kerberos
Comment installer un serveur d'authentification Kerberos.
Intégration d'un client Linux
Comment intégrer un client Linux dans un royaume Kerberos.
Passage de l'authentification Kerberos aux applications web (mod_auth_kerb)
Comment configurer Apache et mod_auth_kerb pour que l'authentification Kerberos passe du niveau système au niveau applicatif (web).
Installation et configuration du serveur CAS
Comment installer et configurer un serveur CAS pour qu'il authentifie les utilisateurs par Kerberos et LDAP.
Intégration d'un client Windows XP
Comment intégrer un client Windows XP dans un royaume Kerberos.
Intégration d'un client Windows 7
Comment intégrer un client Windows 7 dans un royaume Kerberos.
Problèmes liés au clonage des postes
La configuration d'un client dans un royaume kerberos nécessite quelques paramètres clonables (nom du royaume, serveurs du royaume).
Le problème principal est de mettre en place la confiance entre le serveur kerberos et les clients (fichier keytab sous Linux, clefs de registre
sous Windows, ...). Un fichier keytab ou son équivalence Windows contient la clef attribuée au principal par le serveur kerberos. Cette clef
est évidemment propre à chaque client (principal), comment éviter une intervention sur chaque poste à l'issue d'un déploiement ? Il faut
aussi noter que la sécurité d'un environnement kerbérisé repose sur la confidentialité du contenu des keytab.
- Linux : les keytab de toutes les machine figurent dans l'image à déployer, la première phase de boot va éliminer les keytab inutiles et positionner le bon en fonction du nom du poste de travail. Pour créer tous les keytab on peut procéder de la manière suivante :
- sur le serveur kerberos on execute kadmin/addprinc pour créer tous les principaux;
- on génère ensuite un keytab par poste de travail. Les fichiers keytab portent un nom explicite et sont placés dans un répertoire qui va être exporté sur le poste étalon.
- Windows :