Heimdal-0.6.2

openssl-0.9.7d et Berkeley DB-4.2.52.2

readline-4.3, Linux_PAM-0.77, OpenLDAP-2.1.30, X (X.org-6.7.0 ou XFree86-4.4.0), cracklib-2.7 et krb4

Créez le fichier de configuration Kerberos avec la commande suivante :

install -d /etc/heimdal &&
cat > /etc/heimdal/krb5.conf << "EOF"
# Début /etc/heimdal/krb5.conf
        
[libdefaults]
    default_realm = [LFS.ORG]
    encrypt = true

[realms]
    [LFS.ORG] = {
        kdc = [belgarath.lfs.org]
        admin_server = [belgarath.lfs.org]
        kpasswd_server = [belgarath.lfs.org]
    }

[domain_realm]
    .[lfs.org] = [LFS.ORG]

[logging]
    kdc = FILE:/var/log/kdc.log
    admin_server = FILE:/var/log/kadmin.log
    default = FILE:/var/log/krb.log

# Fin /etc/heimdal/krb5.conf
EOF

Vous aurez besoin de substituer votre domaine et votre nom d'hôte pour les différentes occurences des noms belgarath et lfs.org.

default_realm devrait être le nom de votre domaine en majuscule. Ce n'est pas requis mais Heimdal et MIT le recommandent.

encrypt = true fournit un cryptage de tout le trafic entre clients et serveurs Kerberos. Il n'est pas nécessaire et peut être oublié. Si vous l'oubliez, vous pouvez crypter tout le trafic entre le client et le serveur en utilisant une option sur le programme client.

Le paramètre [realms] indique aux programmes client où chercher les services d'authentification KDC.

La section [domain_realm] fait correspondre un domaine à un royaume.

Stockez le mot de passe maître dans un fichier clé en utilisant les commandes suivantes :

install -d -m 755 /var/lib/heimdal &&
kstash

Créez la base de données KDC :

kadmin -l

Choisissez les valeurs par défaut pour l'instant. Vous pourrez y retourner plus tard et changer les valeurs si vous en sentez la nécessité. À l'invite de kadmin>, lancez l'instruction suivante :

init [LFS.ORG]

Maintenant, vous devez remplir la base de données avec des principes (utilisateurs). Pour l'instant, utilisez votre nom de connexion ou root.

add [loginname]

Le serveur KDC et toute autre machine disposant de serveurs Kerberos doivent avoir une clé d'hôte installée :

add --random-key host/[belgarath.lfs.org]

Après avoir choisir les valeurs par défaut proposés, vous devez exporter les données dans un fichier keytab :

ext host/[belgarath.lfs.org]

Ceci doit avoir créé deux fichiers dans /etc nommé krb5.keytab (Kerberos 5) et srvtab (Kerberos 4). Ces deux fichier devraient avoir les droits 600 (lecture écriture pour root seulement). Protéger les fichiers keytab d'un accès public est crucial pour la sécurité complète de votre installation Kerberos.

Éventuellement, vous voudrez ajouter des principes au serveur dans la base de données et les extaire dans le fichier keytab. Vous le ferez de la même façon que vous avez créé les principes de l'hôte. Ci-dessous se trouve un exemple :

add --random-key
ftp/[belgarath.lfs.org]

(choisissez les valeurs par défaut)

ext ftp/[belgarath.lfs.org]

Quittez le programme kadmin (utilisez quit ou exit) et retournez à l'invite du shell. Lancez le démon KDC manuellement pour tester l'installation :

/usr/sbin/kdc &

Essayez d'obtenir un TGT (ticket d'obtention de tickets) avec la commande suivante :

kinit
[nom_connexion]

Le mot de passe que vous avez ajouté vous sera demandé. Après avoir obtenu votre ticket, vous pourrez l'afficher avec la commande :

klist

Des informations sur le ticket devraient apparaître à l'écran.

Pour tester les fonctionnalités du fichier keytab, lancez la commande suivante :

ktutil list

Ceci devrait afficher une liste de l'hôte principal avec les méthodes de cryptage utilisées pour accèder au principal.

Arrivé là, si tout fonctionne correctement, vous pouvez être assez confiant sur l'installation et la configuration du paquetage.

Installez le script de démarrage /etc/rc.d/init.d/heimdal inclus dans le paquetage blfs-bootscripts-5.1.

make install-heimdal

Pour utiliser les programmes client Kerberos (telnet, ftp, rsh, rxterm, rxtelnet, rcp, xnlock), vous devez tout d'abord obtenir un TGT. Utilisez le programme kinit pour obtenir le ticket. Après avoir acquis le ticket, vous pouvez utiliser les programmes Kerberos pour vous connecter à tout serveur Kerberos sur le réseau. Aucune authentification ne vous sera demandée jusqu'à l'expiration de votre ticket (par défaut, un jour) sauf si vous spécifiez un autre utilisateur comme argument en ligne de commande pour le programme.

Les programmes Kerberos se connecteront à des démons non Kerberos, vous avertissant que l'authentication n'est pas cryptée. Comme mentionné plus tôt, seul le programme ftp pose problème pour se connecter à des démons non Kerberos.

Pour plus d'informations, consultez l' astuce Heimdal sur laquelle ces instructions sont basées.