klog.krb5 - En ligne dans le Cloud

PROGRAMME:

Nom

klog.krb5 - S'authentifie auprès de Kerberos et obtient un jeton

SYNOPSIS

klog.krb5 [-x] [-directeur <utilisateur prénom>]
[-le mot de passeutilisateur Mot de passe>] [-cellule <cellule prénom>]
[-k <royaume>] [-tuyau] [-silencieux]
[-durée de vie <billet durée de vie in hh[:mm[:ss]]>]
[-setpag] [-tmp] [-noprdb] [-déballer] [-Aide]

klog.krb5 [-x] [-pr <utilisateur prénom>]
[-Pennsylvanie <utilisateur Mot de passe>]
[-c <cellule prénom>]
[-k <royaume>] [-pi] [-Oui]
[-l <billet durée de vie in hh[:mm[:ss]]>]
[-se] [-t] [-n] [-u] [-h]

DESCRIPTION

La klog.krb5 commande obtient un ticket Kerberos v5 d'un KDC Kerberos et, à partir du
ticket, un jeton AFS, puis le stocke dans le gestionnaire de cache. Le gestionnaire de cache conserve le
jeton dans la mémoire du noyau et l'utilise lors de l'obtention d'un accès authentifié à l'AFS
espace fichier. Cette commande n'affecte pas l'identité de l'émetteur (UNIX UID) sur le
système de fichiers.

Par défaut, l'interpréteur de commandes obtient un jeton pour le nom d'utilisateur AFS qui correspond au
le nom d'utilisateur local de l'émetteur. Pour spécifier un autre utilisateur, incluez le -directeur argument.
L'utilisateur nommé par le -directeur l'argument n'a pas à apparaître dans le mot de passe local
fichier (le / Etc / passwd fichier ou équivalent).

Par défaut, l'interpréteur de commandes obtient un jeton pour la cellule locale, tel que défini par le
Variable d'environnement AFSCELL définie dans le shell de commande ou par le /etc/openafs/ThisCell filet
sur la machine locale. Pour spécifier une autre cellule, incluez le -cellule argument. Un utilisateur
peut avoir des jetons dans plusieurs cellules simultanément, mais un seul jeton par cellule par
connexion à la machine cliente. Si la structure des informations d'identification de l'utilisateur contient déjà un
token pour la cellule demandée, le token résultant de cette commande la remplace.

Par défaut, l'interpréteur de commandes obtient un ticket Kerberos pour le domaine local. À
spécifiez un domaine Kerberos différent, incluez le -k argument. Le nom de domaine Kerberos a besoin
ne correspond pas au nom de la cellule AFS. klog.krb5 demandera un ticket pour le principal "afs/cellule"
où cellule est le nom de la cellule pour laquelle l'utilisateur demande des jetons, se rabattant sur le
principal "afs" si ce principal ne fonctionne pas.

La durée de vie du jeton résultant de cette commande est la plus petite des suivantes :

· La durée de vie spécifiée par l'émetteur avec le -durée de vie argument si cet argument était
donné.

· La durée de vie maximale du ticket enregistrée pour les "afs/cellule" principal dans le Kerberos
base de données.

· La durée de vie maximale du ticket enregistrée dans l'entrée de base de données Kerberos de l'utilisateur spécifié.

ATTENTION

Par défaut, cette commande ne crée pas de nouveau groupe d'authentification de processus (PAG) ; voir le
descriptif de la pagaille commande pour en savoir plus sur les PAG. Si une cellule n'utilise pas d'AFS-
utilitaire de connexion modifié, les utilisateurs doivent inclure -setpag option à cette commande, ou exécutez le
pagaille commande avant celle-ci, pour que leurs jetons soient stockés dans une structure d'informations d'identification qui
est identifié par le PAG plutôt que par l'UID local. Les utilisateurs doivent savoir que -setpag sera
ne fonctionne pas sur certains systèmes, notamment les systèmes Linux récents, et en utilisant pagaille is
préférable et plus fiable.

Lorsqu'une structure d'informations d'identification est identifiée par l'UID local, l'exposition potentielle à la sécurité est
que le superutilisateur local "root" peut utiliser l'UNIX su l'ordre d'assumer toute autre identité
et héritent automatiquement des jetons associés à cet UID. Identification de l'identifiant
la structure par PAG rend plus difficile (mais pas impossible) pour le superutilisateur local de
obtenir des jetons d'autres utilisateurs.

Si la -mot de passe est utilisé, le mot de passe spécifié ne peut pas commencer par un tiret,
car il est interprété comme un autre nom d'option. Utilisation du -mot de passe l'argument n'est pas
recommandé dans tous les cas.

Par défaut, il est possible d'émettre cette commande sur un client NFS correctement configuré
machine qui accède à AFS via le traducteur NFS/AFS, en supposant que le client NFS
machine est un type de système pris en charge. Cependant, si l'administrateur de la machine de traduction a
activé la vérification de l'UID en incluant le -uidcheck on argument à la fs exportateurs commander,
la commande échoue avec un message d'erreur semblable au suivant :

Avertissement : pioctl distant vers a échoué (err=8). . .
Impossible de s'authentifier auprès d'AFS car un pioctl a échoué.

L'activation de la vérification de l'UID signifie que la structure des informations d'identification dans laquelle les jetons sont stockés sur
la machine de traduction doit être identifiée par un UID qui correspond à l'UID local du
processus qui place les jetons dans la structure des informations d'identification. Après le klog.krb5
l'interpréteur de commandes obtient le jeton sur le client NFS, il le transmet à la télécommande
démon exécuteur sur la machine de traduction, qui effectue l'appel système qui stocke le
jeton dans une structure d'informations d'identification sur la machine de traduction. L'exécuteur à distance en général
s'exécute en tant que superutilisateur local "root", donc dans la plupart des cas, son UID local (normalement zéro)
ne correspond pas à l'UID local de l'utilisateur qui a émis le klog.krb5 commande sur le client NFS
machine.

Délivrance du klog.krb5 sur une machine cliente NFS crée une exposition de sécurité : la
l'interpréteur de commandes transmet le jeton sur le réseau au démon d'exécution à distance dans
mode texte clair.

OPTIONS

-x Apparaît uniquement pour la compatibilité descendante. Son ancienne fonction est maintenant la valeur par défaut
comportement de cette commande.

-directeur <utilisateur prénom>
Spécifie le nom d'utilisateur à authentifier. Si cet argument est omis, la valeur par défaut
valeur est le nom d'utilisateur local.

-mot de passe <utilisateur Mot de passe>
Spécifie le mot de passe de l'émetteur (ou celui de l'autre utilisateur identifié par le
-directeur argument). Omettez cet argument pour que l'interpréteur de commandes demande
le mot de passe, auquel cas il ne résonne pas visiblement dans le shell de commande.

-cellule <cellule prénom>
Spécifie la cellule pour laquelle obtenir un jeton. Au cours d'une seule session de connexion sur un
machine donnée, un utilisateur peut être authentifié dans plusieurs cellules simultanément, mais peut
n'ont qu'un seul jeton à la fois pour chacun d'eux (c'est-à-dire qu'ils ne peuvent s'authentifier que sous
une identité par cellule par session sur une machine). Il est acceptable d'abréger le
le nom de la cellule à la forme la plus courte qui le distingue des autres cellules répertoriées dans
le /etc/openafs/CellServDB sur la machine cliente sur laquelle la commande est émise.

Si cet argument est omis, la commande est exécutée dans la cellule locale, telle que définie

· D'abord par la valeur de la variable d'environnement AFSCELL.

· Deuxièmement, dans le /etc/openafs/ThisCell sur la machine cliente sur laquelle le
la commande est émise.

-k <royaume>
Obtenez des billets et des jetons de laroyaume> Royaume Kerberos. Si cette option n'est pas
donné, klog.krb5 utilise par défaut le domaine local par défaut. Le nom de domaine Kerberos
ne doit pas nécessairement correspondre au nom de la cellule AFS.

-tuyau
Supprime toutes les sorties vers le flux de sortie standard, y compris les invites et les erreurs
messages. Les klog.krb5 l'interpréteur de commandes s'attend à recevoir le mot de passe du
flux d'entrée standard. N'utilisez pas cet argument ; il est conçu pour être utilisé par application
programmes plutôt que des utilisateurs humains.

-silencieux
Supprime certains des messages de trace que le klog.krb5 commande produit sur le
flux de sortie standard par défaut. Il fait toujours état des problèmes majeurs rencontrés.

-durée de vie <billet durée de vie
Demande une durée de vie spécifique pour le jeton. Prévoir un nombre d'heures et éventuellement
minutes et secondes au format hh[:mm[:ss]].

-setpag
Crée un groupe d'authentification de processus (PAG) avant de demander l'authentification. Les
le jeton est associé au PAG nouvellement créé.

-tmp
Crée un fichier de ticket de style Kerberos plutôt que d'obtenir uniquement des jetons. Le billet
sera stocké dans l'emplacement par défaut du cache de tickets Kerberos, qui se trouve généralement dans
le / Tmp répertoire de la machine locale (mais dépend de l'implémentation Kerberos
utilisé).

-noprdb
Par défaut, klog.krb5 recherche l'ID AFS de l'utilisateur dans le serveur de protection et
associe le jeton à cet ID AFS. Ceci est utile lorsque l'on regarde la sortie de
des commandes comme tokens mais n'est pas obligatoire. Si cette option est donnée, ce comportement est
supprimé et klog.krb5 stockera le jeton sous un nom générique. Vous pouvez souhaiter ceci
si, par exemple, vous rencontrez des problèmes pour contacter le serveur de protection pour une cellule AFS
pour certaines raisons.

-déballer
Normalement, klog.krb5 utilise le ticket de service Kerberos pour le principal AFS comme AFS
jeton. Si cette option est donnée, klog.krb5 crée un jeton AFS différent et simplifié
formulaire basé sur le ticket de service (le jeton dit « rxkad 2b »). Normalement, c'est
pas nécessaire. Cependant, si vous utilisez un logiciel OpenAFS plus ancien qui ne peut pas gérer
de grandes tailles de tickets en conjonction avec Active Directory en tant que serveur Kerberos, en utilisant
-déballer peut réduire la taille du jeton AFS afin que les anciens logiciels puissent le gérer davantage
facilement.

-Aide
Imprime l'aide en ligne de cette commande. Toutes les autres options valides sont ignorées.

SORTIE

Si la -tmp est inclus, le message suivant confirme qu'un cache de ticket Kerberos
a été créé:

A écrit le fichier du ticket dans /tmp/krb5cc_1000_rENJoZ

Le chemin d'accès au cache variera, bien sûr.

EXEMPLES

Le plus souvent, cette commande est émise sans arguments. Le mot de passe approprié est pour le
personne actuellement connectée au système local. La durée de vie du billet est calculée comme
décrit dans DESCRIPTION.

% klog.krb5
Mot de passe pour [email protected]:

L'exemple suivant authentifie l'utilisateur en tant qu'administrateur dans la cellule de test d'ABC Corporation :

% klog.krb5 -administrateur principal -cell test.abc.com
Mot de passe pour [email protected]:

Dans ce qui suit, l'émetteur demande une durée de vie du ticket de 104 heures 30 minutes (4 jours 8
heures 30).

% klog.krb5 -durée de vie 104:30
Mot de passe pour [email protected]:

PRIVILÈGE REQUIS

Aucun

Utilisez klog.krb5 en ligne à l'aide des services onworks.net