CentOS yum 方式安装配置Kerberos全攻略

2025年9月20日 互联网

CentOS yum 方式安装配置Kerberos全攻略

一、Kerberos认证概述

Kerberos是一种基于票据（Ticket）的分布式网络认证协议，通过可信第三方（KDC）实现客户端与服务端的双向身份验证。其核心优势在于：

  1. 安全性：采用对称加密技术，避免明文传输密码
  2. 单点登录：用户只需一次认证即可访问多个服务
  3. 可扩展性：支持跨域认证和大规模网络部署

在CentOS系统中，我们可以通过yum包管理器快速部署Kerberos服务端（KDC）和客户端组件，相比手动编译安装更显高效可靠。

二、安装前环境准备

2.1 系统要求

  • CentOS 7/8（推荐使用最新稳定版）
  • 最小2GB内存（生产环境建议4GB+）
  • 至少20GB可用磁盘空间
  • 静态IP地址配置

2.2 网络配置检查

  1. # 查看IP配置
  2. ip addr show
  4. # 测试DNS解析
  5. nslookup kdc.example.com

确保主机名能正确解析到IP地址，建议配置/etc/hosts文件：

  1. 192.168.1.10 kdc.example.com kdc

2.3 时间同步配置

Kerberos对时间敏感度极高（默认允许5分钟时差），需配置NTP服务：

  1. yum install chrony -y
  2. systemctl enable --now chronyd
  3. chronyc sources

三、yum安装Kerberos组件

3.1 配置EPEL仓库（如需）

  1. yum install epel-release -y

3.2 安装KDC服务端

  1. yum install krb5-server krb5-libs krb5-workstation -y

安装完成后，主要生成以下文件：

  • /var/kerberos/krb5kdc/principal：主数据库文件
  • /etc/krb5.conf：全局配置文件
  • /var/kerberos/krb5kdc/kdc.conf：KDC专用配置

3.3 安装客户端工具

  1. yum install krb5-workstation -y

四、Kerberos服务端配置

4.1 修改krb5.conf主配置

  1. [logging]
  2.  default = FILE:/var/log/krb5libs.log
  3.  kdc = FILE:/var/log/krb5kdc.log
  4.  admin_server = FILE:/var/log/kadmind.log
  6. [libdefaults]
  7.  default_realm = EXAMPLE.COM
  8.  ticket_lifetime = 24h
  9.  renew_lifetime = 7d
  10.  forwardable = true
  11.  default_tgs_enctypes = aes256-cts
  12.  default_tkt_enctypes = aes256-cts
  14. [realms]
  15.  EXAMPLE.COM = {
  16.   kdc = kdc.example.com
  17.   admin_server = kdc.example.com
  18.  }
  20. [domain_realm]
  21.  .example.com = EXAMPLE.COM
  22.  example.com = EXAMPLE.COM

4.2 配置KDC专用参数

编辑/var/kerberos/krb5kdc/kdc.conf：

  1. [kdcdefaults]
  2.  kdc_ports = 88
  3.  kdc_tcp_ports = 88
  5. [realms]
  6.  EXAMPLE.COM = {
  7.   master_key_type = aes256-cts
  8.   supported_enctypes = aes256-cts:normal aes128-cts:normal
  9.   max_life = 8h 0m 0s
  10.   max_renewable_life = 7d 0h 0m 0s
  11.  }

4.3 创建Kerberos数据库

  1. # 创建数据库（会提示输入master密码）
  2. krb5kdc_newrealm
  4. # 验证数据库文件
  5. ls -l /var/kerberos/krb5kdc/principal*

五、启动Kerberos服务

5.1 服务管理

  1. systemctl enable --now krb5kdc
  2. systemctl enable --now kadmin
  4. # 检查服务状态
  5. systemctl status krb5kdc kadmin

5.2 防火墙配置

  1. firewall-cmd --permanent --add-port={88,749}/tcp
  2. firewall-cmd --reload

六、管理Kerberos主体

6.1 使用kadmin工具

  1. kadmin.local -q "addprinc admin/admin"

系统会提示输入密码，建议使用强密码策略。

6.2 创建服务主体示例

  1. kadmin.local -q "addprinc -randkey host/service.example.com"
  2. kadmin.local -q "ktadd -k /etc/service.keytab host/service.example.com"

七、客户端配置与测试

7.1 客户端krb5.conf同步

将服务端的/etc/krb5.conf复制到客户端对应位置。

7.2 获取票据测试

  1. kinit admin/admin
  2. klist  # 查看获取的票据

7.3 完整认证流程测试

  1. # 创建测试主体
  2. kadmin.local -q "addprinc testuser"
  4. # 客户端获取票据
  5. kinit testuser
  7. # 访问服务测试（需服务端配置）

八、高级配置选项

8.1 多域信任配置

在/etc/krb5.conf中添加：

  1. [capaths]
  2.  EXAMPLE.COM = {
  3.   SUB.EXAMPLE.COM = .
  4.  }

8.2 日志轮转配置

编辑/etc/logrotate.d/krb5：

  1. /var/log/krb5libs.log /var/log/krb5kdc.log /var/log/kadmind.log {
  2.     weekly
  3.     missingok
  4.     rotate 4
  5.     compress
  6.     notifempty
  7.     copytruncate
  8. }

九、常见问题解决

9.1 时钟不同步问题

  1. # 查看时间差
  2. date; ssh kdc.example.com date
  4. # 强制同步时间
  5. systemctl stop chronyd
  6. chronyd -q "server kdc.example.com iburst"
  7. systemctl start chronyd

9.2 数据库损坏修复

  1. # 备份现有数据库
  2. cp /var/kerberos/krb5kdc/principal{,.bak}
  4. # 重建数据库（需master密码）
  5. krb5kdc_newrealm

十、最佳实践建议

  1. 定期备份：每周备份/var/kerberos/krb5kdc/目录
  2. 密码策略：设置主体密码过期策略（通过kadmin.local的modprinc命令）
  3. 监控告警：配置监控检查KDC服务状态和票据数量
  4. 审计日志：开启详细日志记录认证事件

十一、扩展应用场景

  1. Hadoop生态集成：配置HDFS、Hive等组件使用Kerberos认证
  2. Web应用SSO：通过SPNEGO实现浏览器无感知认证
  3. 跨域认证：建立Kerberos信任关系实现多域单点登录

通过yum方式安装的Kerberos服务，结合CentOS系统的稳定性，能够为企业提供可靠的身份认证基础架构。建议定期更新krb5相关软件包以获取最新安全补丁。

最新文章