ksu - ອອນລາຍໃນຄລາວ

ໂຄງການ:

NAME

ksu - Kerberized super-user

ສະຫຼຸບສັງລວມ

ksu [ target_user ] [ -n target_principal_name ] [ -c source_cache_name ] [ -k ] [ -D ] [
-r ເວ​ລາ​] [ -pf ] [ -l ຕະຫຼອດຊີວິດ ] [ -z | Z ] [ -q ] [ -e ຄໍາສັ່ງ [ args ... ] ] [ -a [
args ... ]]

ສິ່ງທີ່ຕ້ອງມີ

ຕ້ອງມີ Kerberos ລຸ້ນ 5 ຕິດຕັ້ງເພື່ອລວບລວມ ksu. ຕ້ອງມີ Kerberos ລຸ້ນ 5
ເຊີບເວີແລ່ນເພື່ອໃຊ້ ksu.

ລາຍລະອຽດ

ksu ເປັນ​ເວີ​ຊັນ Kerberized ຂອງ​ໂຄງ​ການ su ທີ່​ມີ​ສອງ​ພາ​ລະ​ກິດ​: ຫນຶ່ງ​ແມ່ນ​ເພື່ອ​ຄວາມ​ປອດ​ໄພ​
ປ່ຽນ ID ຜູ້ໃຊ້ທີ່ແທ້ຈິງແລະມີປະສິດທິພາບກັບຜູ້ໃຊ້ເປົ້າຫມາຍ, ແລະອີກອັນຫນຶ່ງແມ່ນເພື່ອ
ສ້າງບໍລິບົດຄວາມປອດໄພໃຫມ່.

ຫມາຍ​ເຫດ​:
ສໍາລັບ sake ຂອງຄວາມຊັດເຈນ, ທັງຫມົດທີ່ອ້າງອິງແລະຄຸນລັກສະນະຂອງຜູ້ໃຊ້ invoking the
ໂຄງ​ການ​ຈະ​ເລີ່ມ​ຕົ້ນ​ດ້ວຍ "ແຫຼ່ງ​" (ເຊັ່ນ​: "ຜູ້​ໃຊ້​ແຫຼ່ງ​"​, "ຖານ​ຄວາມ​ຈໍາ​ແຫຼ່ງ​" ແລະ​ອື່ນໆ​)​.

ເຊັ່ນດຽວກັນ, ການອ້າງອີງທັງຫມົດແລະຄຸນລັກສະນະຂອງບັນຊີເປົ້າຫມາຍຈະເລີ່ມຕົ້ນດ້ວຍ
"ເປົ້າ​ຫມາຍ".

ສິດ ອຳ ນາດ

ເພື່ອປະຕິບັດພາລະກິດທໍາອິດ, ksu ດໍາເນີນການໃນສອງໄລຍະ: ການກວດສອບແລະ
ການອະນຸຍາດ. ການແກ້ໄຂຊື່ຕົ້ນຕໍເປົ້າຫມາຍແມ່ນຂັ້ນຕອນທໍາອິດໃນການກວດສອບຄວາມຖືກຕ້ອງ.
ຜູ້ໃຊ້ສາມາດລະບຸຊື່ຫຼັກຂອງລາວດ້ວຍເຄື່ອງໝາຍ -n ທາງເລືອກ (ຕົວຢ່າງ: -n
[email protected]) ຫຼືຊື່ຕົ້ນຕໍເລີ່ມຕົ້ນຈະຖືກມອບຫມາຍໂດຍໃຊ້ heuristic ທີ່ອະທິບາຍ
ໃນພາກ OPTIONS (ເບິ່ງ -n ທາງ​ເລືອກ). ຊື່ຜູ້ໃຊ້ເປົ້າຫມາຍຕ້ອງເປັນການໂຕ້ຖຽງທໍາອິດ
to ksu ; ຖ້າບໍ່ໄດ້ລະບຸຮາກແມ່ນຄ່າເລີ່ມຕົ້ນ. ຖ້າ . ຖືກກໍານົດຫຼັງຈາກນັ້ນຜູ້ໃຊ້ເປົ້າຫມາຍຈະ
ເປັນຜູ້ໃຊ້ແຫຼ່ງ (ຕົວຢ່າງ, ksu .). ຖ້າຜູ້ໃຊ້ແຫຼ່ງແມ່ນຮາກຫຼືຜູ້ໃຊ້ເປົ້າຫມາຍແມ່ນ
ຜູ້​ໃຊ້​ແຫຼ່ງ​ຂໍ້​ມູນ​, ບໍ່​ມີ​ການ​ກວດ​ສອບ​ຫຼື​ການ​ອະ​ນຸ​ຍາດ​ເກີດ​ຂຶ້ນ​. ຖ້າບໍ່ດັ່ງນັ້ນ, ksu ຊອກຫາ
ປີ້ Kerberos ທີ່ເຫມາະສົມໃນ cache ແຫຼ່ງ.

ປີ້ສາມາດເປັນສໍາລັບ end-server ຫຼືຕົ໋ວໃຫ້ປີ້ (TGT) ສໍາລັບ
ເປົ້າ​ຫມາຍ​ຂອງ​ພື້ນ​ທີ່​ອໍາ​ນວຍ​ການ​. ຖ້າປີ້ສໍາລັບ end-server ແມ່ນແລ້ວຢູ່ໃນ cache, ມັນແມ່ນ
ຖອດລະຫັດ ແລະກວດສອບແລ້ວ. ຖ້າມັນບໍ່ຢູ່ໃນແຄດແຕ່ TGT ແມ່ນ, TGT ຖືກນໍາໃຊ້ເພື່ອ
ໄດ້ຮັບປີ້ສໍາລັບ end-server. ຫຼັງຈາກນັ້ນ, ປີ້ end-server ແມ່ນການກວດສອບ. ຖ້າບໍ່
ປີ້ຢູ່ໃນແຄດ, ແຕ່ ksu ຖືກລວບລວມດ້ວຍ GET_TGT_VIA_PASSWD ກໍານົດ, ຜູ້ໃຊ້
ຈະຖືກເຕືອນສໍາລັບລະຫັດຜ່ານ Kerberos ເຊິ່ງຫຼັງຈາກນັ້ນຈະຖືກໃຊ້ເພື່ອຮັບ TGT. ຖ້າ
ຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບຫ່າງໄກສອກຫຼີກແລະບໍ່ມີຊ່ອງທາງທີ່ປອດໄພ, ລະຫັດຜ່ານອາດຈະເປັນ
ເປີດເຜີຍ. ຖ້າບໍ່ມີປີ້ຢູ່ໃນ cache ແລະ GET_TGT_VIA_PASSWD ບໍ່​ໄດ້​ກໍາ​ນົດ​,
ການພິສູດຢືນຢັນລົ້ມເຫລວ.

ການອະນຸຍາດ

ພາກສ່ວນນີ້ອະທິບາຍການອະນຸຍາດຂອງຜູ້ໃຊ້ແຫຼ່ງເມື່ອ ksu ຖືກເອີ້ນໂດຍທີ່ບໍ່ມີ -e
ທາງເລືອກ. ສໍາລັບລາຍລະອຽດຂອງ -e ທາງເລືອກ, ເບິ່ງພາກ OPTIONS.

ເມື່ອການພິສູດຢືນຢັນສຳເລັດແລ້ວ, ksu ຈະກວດເບິ່ງວ່າ ເປົ້າໝາຍຫຼັກແມ່ນໄດ້ຮັບອະນຸຍາດຫຼືບໍ່
ເຂົ້າເຖິງບັນຊີເປົ້າໝາຍ. ໃນໄດເລກະທໍລີເຮືອນຂອງຜູ້ໃຊ້ເປົ້າຫມາຍ, ksu ພະຍາຍາມເຂົ້າເຖິງ
ສອງ​ໄຟລ​໌​ອະ​ນຸ​ຍາດ​: .k5 ເຂົ້າສູ່ລະບົບ(5​) ແລະ .k5users. ໃນໄຟລ໌ .k5login ແຕ່ລະແຖວ
ມີຊື່ຂອງຕົ້ນທຶນທີ່ໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າເຖິງບັນຊີ.

ຍົກ​ຕົວ​ຢ່າງ:

[email protected]
jqpublic/[email protected]
jqpublic/[email protected]

ຮູບແບບຂອງ .k5users ແມ່ນຄືກັນ, ຍົກເວັ້ນຊື່ຫຼັກອາດຈະຖືກຕິດຕາມດ້ວຍລາຍຊື່ຂອງ
ຄໍາ​ສັ່ງ​ທີ່​ຕົ້ນ​ຕໍ​ໄດ້​ຮັບ​ອະ​ນຸ​ຍາດ​ໃຫ້​ປະ​ຕິ​ບັດ (ເບິ່ງ​ -e ທາງເລືອກໃນ OPTIONS
ພາກ​ສ່ວນ​ສໍາ​ລັບ​ລາຍ​ລະ​ອຽດ​)​.

ດັ່ງນັ້ນ, ຖ້າຊື່ຕົ້ນຕໍເປົ້າຫມາຍຖືກພົບເຫັນຢູ່ໃນໄຟລ໌ .k5login ຜູ້ໃຊ້ແຫຼ່ງແມ່ນ
ອະນຸຍາດໃຫ້ເຂົ້າເຖິງບັນຊີເປົ້າຫມາຍ. ຖ້າບໍ່ດັ່ງນັ້ນ ksu ເບິ່ງຢູ່ໃນໄຟລ໌ .k5users. ຖ້າ
ຊື່ຕົ້ນຕໍເປົ້າຫມາຍແມ່ນພົບເຫັນໂດຍບໍ່ມີຄໍາສັ່ງຕໍ່ຫນ້າຫຼືປະຕິບັດຕາມພຽງແຕ່ໂດຍ *
ຫຼັງຈາກນັ້ນ, ຜູ້ໃຊ້ແຫຼ່ງແມ່ນໄດ້ຮັບອະນຸຍາດ. ຖ້າມີ .k5login ຫຼື .k5users ແຕ່ມີ
ການເຂົ້າທີ່ເຫມາະສົມສໍາລັບການຕົ້ນຕໍເປົ້າຫມາຍບໍ່ມີຢູ່ຫຼັງຈາກນັ້ນການເຂົ້າເຖິງຖືກປະຕິເສດ. ຖ້າ
ບໍ່ມີໄຟລ໌ໃດໆຫຼັງຈາກນັ້ນຜູ້ອໍານວຍການຈະໄດ້ຮັບການອະນຸຍາດໃຫ້ເຂົ້າເຖິງບັນຊີອີງຕາມການ
aname->ກົດ​ລະ​ບຽບ​ການ​ສ້າງ​ແຜນ​ທີ່​ຊື່. ຖ້າບໍ່ດັ່ງນັ້ນ, ການອະນຸຍາດລົ້ມເຫລວ.

ການປະຕິບັດ OF ການ ເປົ້າ​ຫມາຍ SHELL

ເມື່ອການພິສູດຢືນຢັນແລະການອະນຸຍາດສົບຜົນສໍາເລັດ, ksu ດໍາເນີນການໃນຮູບແບບທີ່ຄ້າຍຄືກັນກັບ su.
ສະພາບແວດລ້ອມແມ່ນບໍ່ມີການດັດແກ້ໂດຍຍົກເວັ້ນຕົວແປ USER, HOME ແລະ SHELL. ຖ້າ
ຜູ້​ໃຊ້​ເປົ້າ​ຫມາຍ​ບໍ່​ໄດ້​ຮາກ​, USER ໄດ້​ຮັບ​ການ​ກໍາ​ນົດ​ຊື່​ຜູ້​ໃຊ້​ເປົ້າ​ຫມາຍ​. ຖ້າບໍ່ດັ່ງນັ້ນ USER
ຍັງຄົງບໍ່ປ່ຽນແປງ. ທັງ HOME ແລະ SHELL ຖືກຕັ້ງເປັນຄ່າເລີ່ມຕົ້ນຂອງການເຂົ້າສູ່ລະບົບເປົ້າໝາຍ. ໃນ
ນອກຈາກນັ້ນ, ສະພາບແວດລ້ອມທີ່ມີການປ່ຽນແປງ KRB5CCNAME ໄດ້ຮັບການຕັ້ງເປັນຊື່ຂອງ cache ເປົ້າຫມາຍດັ່ງກ່າວ.
ID ຜູ້ໃຊ້ທີ່ແທ້ຈິງແລະມີປະສິດທິພາບຖືກປ່ຽນເປັນຜູ້ໃຊ້ເປົ້າຫມາຍ. ຜູ້ໃຊ້ເປົ້າຫມາຍ
shell ແມ່ນ invoked (ຊື່ shell ແມ່ນລະບຸໄວ້ໃນໄຟລ໌ລະຫັດຜ່ານ). ຕາມ
ການຢຸດເຊົາຂອງ shell, ksu ລົບ cache ເປົ້າຫມາຍ (ເວັ້ນເສຍແຕ່ວ່າ ksu ຈະຖືກເອີ້ນດ້ວຍ. -k
ທາງ​ເລືອກ). ນີ້ແມ່ນປະຕິບັດໂດຍການເຮັດຄັ້ງທໍາອິດຂອງສ້ອມແລະຫຼັງຈາກນັ້ນ exec, ແທນທີ່ຈະພຽງແຕ່
exec, ດັ່ງທີ່ເຮັດໂດຍ su.

ການສ້າງ A NEW ຄວາມປອດໄພ CONTEXT

ksu ສາມາດຖືກນໍາໃຊ້ເພື່ອສ້າງສະພາບການຄວາມປອດໄພໃຫມ່ສໍາລັບໂຄງການເປົ້າຫມາຍ (ບໍ່ວ່າຈະເປັນເປົ້າຫມາຍ
shell, ຫຼືຄໍາສັ່ງທີ່ລະບຸໂດຍຜ່ານ -e ທາງ​ເລືອກ). ໂຄງການເປົ້າຫມາຍດັ່ງກ່າວ inherits ຊຸດຂອງ
ຂໍ້ມູນປະຈໍາຕົວຈາກຜູ້ໃຊ້ແຫຼ່ງ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ຊຸດນີ້ປະກອບມີຂໍ້ມູນປະຈໍາຕົວທັງໝົດໃນ
cache ແຫຼ່ງບວກກັບຂໍ້ມູນປະຈໍາຕົວເພີ່ມເຕີມທີ່ໄດ້ຮັບໃນລະຫວ່າງການພິສູດຢືນຢັນ. ໄດ້
ຜູ້ໃຊ້ແຫຼ່ງສາມາດຈໍາກັດຂໍ້ມູນປະຈໍາຕົວໃນຊຸດນີ້ໂດຍໃຊ້ -z or -Z ທາງເລືອກ. -z
ຈໍາ​ກັດ​ການ​ສໍາ​ເນົາ​ຂອງ​ປີ້​ຈາກ​ຖານ​ຄວາມ​ຈໍາ​ແຫຼ່ງ​ເພື່ອ​ຖານ​ຄວາມ​ຈໍາ​ເປົ້າ​ຫມາຍ​ພຽງ​ແຕ່​ໄດ້​
ປີ້ທີ່ລູກຄ້າ == ຊື່ຫຼັກເປົ້າໝາຍ. ໄດ້ -Z ທາງເລືອກໃຫ້ຜູ້ໃຊ້ເປົ້າຫມາຍ
ກັບ cache ເປົ້າຫມາຍສົດ (ບໍ່ມີ creds ໃນ cache). ໃຫ້ສັງເກດວ່າສໍາລັບເຫດຜົນດ້ານຄວາມປອດໄພ, ເມື່ອ
ຜູ້ໃຊ້ແຫຼ່ງແມ່ນຮາກແລະຜູ້ໃຊ້ເປົ້າຫມາຍບໍ່ແມ່ນຮາກ, -z ທາງເລືອກແມ່ນຮູບແບບເລີ່ມຕົ້ນຂອງ
ການປະຕິບັດງານ.

ໃນຂະນະທີ່ບໍ່ມີການພິສູດຢືນຢັນເກີດຂຶ້ນຖ້າຫາກວ່າຜູ້ໃຊ້ແຫຼ່ງແມ່ນຮາກຫຼືຄືກັນກັບ
ຜູ້ໃຊ້ເປົ້າຫມາຍ, ປີ້ເພີ່ມເຕີມຍັງສາມາດໄດ້ຮັບສໍາລັບ cache ເປົ້າຫມາຍ. ຖ້າ -n is
ລະບຸໄວ້ແລະບໍ່ມີຂໍ້ມູນປະຈໍາສາມາດຖືກຄັດລອກໄປທີ່ cache ເປົ້າຫມາຍ, ຜູ້ໃຊ້ແຫຼ່ງແມ່ນ
ຖືກຖາມຫາລະຫັດຜ່ານ Kerberos (ເວັ້ນເສຍແຕ່ -Z ລະບຸ ຫຼື GET_TGT_VIA_PASSWD ບໍ່​ໄດ້​ກໍາ​ນົດ).
ຖ້າສຳເລັດ, TGT ແມ່ນໄດ້ມາຈາກເຊີບເວີ Kerberos ແລະເກັບໄວ້ໃນແຄດເປົ້າໝາຍ.
ຖ້າ​ບໍ່​ດັ່ງ​ນັ້ນ​, ຖ້າ​ຫາກ​ວ່າ​ລະ​ຫັດ​ຜ່ານ​ບໍ່​ໄດ້​ສະ​ຫນອງ​ໃຫ້ (ຜູ້​ໃຊ້​ຕີ​ກັບ​ຄືນ​ໄປ​ບ່ອນ​) ksu ສືບ​ຕໍ່​ໃນ​ຮູບ​ແບບ​ປົກ​ກະ​ຕິ​
ການດໍາເນີນງານ (cache ເປົ້າຫມາຍຈະບໍ່ປະກອບດ້ວຍ TGT ທີ່ຕ້ອງການ). ຖ້າລະຫັດຜ່ານຜິດ
ຖືກພິມໃນ, ksu ລົ້ມເຫລວ.

ຫມາຍ​ເຫດ​:
ໃນລະຫວ່າງການພິສູດຢືນຢັນ, ມີພຽງແຕ່ປີ້ທີ່ສາມາດໄດ້ຮັບໂດຍບໍ່ມີການສະຫນອງ
ລະຫັດຜ່ານຖືກເກັບໄວ້ໃນ cache ແຫຼ່ງ.

OPTIONS

-n target_principal_name
ລະບຸຊື່ຫຼັກເປົ້າໝາຍຂອງ Kerberos. ໃຊ້ໃນການກວດສອບແລະການອະນຸຍາດ
ໄລຍະຂອງ ksu.

ຖ້າ ksu ຖືກເອີ້ນໂດຍບໍ່ມີ -n, ຊື່ຕົ້ນຕໍເລີ່ມຕົ້ນຖືກມອບຫມາຍຜ່ານ
heuristic ດັ່ງ​ຕໍ່​ໄປ​ນີ້​:

·ກໍລະນີ 1: ຜູ້ໃຊ້ແຫຼ່ງບໍ່ແມ່ນຮາກ.

ຖ້າຜູ້ໃຊ້ເປົ້າຫມາຍແມ່ນຜູ້ໃຊ້ທີ່ມາ, ຊື່ຕົ້ນຕໍເລີ່ມຕົ້ນແມ່ນຕັ້ງເປັນ
ຕົ້ນສະບັບເລີ່ມຕົ້ນຂອງ cache ແຫຼ່ງ. ຖ້າ cache ບໍ່ມີ, ຫຼັງຈາກນັ້ນ
ຊື່ຫຼັກເລີ່ມຕົ້ນຖືກຕັ້ງເປັນ target_user@local_realm. ຖ້າແຫຼ່ງແລະ
ຜູ້ໃຊ້ເປົ້າຫມາຍແມ່ນແຕກຕ່າງກັນແລະບໍ່ຄືກັນ ~target_user/.k5users neither
~target_user/.k5login ມີຢູ່ແລ້ວຊື່ຫຼັກເລີ່ມຕົ້ນແມ່ນ
target_user_login_name@local_realm. ຖ້າບໍ່ດັ່ງນັ້ນ, ເລີ່ມຕົ້ນດ້ວຍຫົວທໍາອິດ
ລາຍຊື່ຂ້າງລຸ່ມນີ້, ksu ກວດເບິ່ງວ່າຜູ້ອໍານວຍການໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າເຖິງເປົ້າຫມາຍ
ບັນຊີ ແລະບໍ່ວ່າຈະມີປີ້ທີ່ຖືກຕ້ອງຕາມກົດໝາຍສໍາລັບຕົ້ນທຶນນັ້ນຢູ່ໃນແຫຼ່ງ
ແຄດ. ຖ້າເງື່ອນໄຂທັງສອງຖືກບັນລຸໄດ້, ເງິນຕົ້ນຈະກາຍເປັນເປົ້າຫມາຍເລີ່ມຕົ້ນ
ຜູ້ອໍານວຍການ, ຖ້າບໍ່ດັ່ງນັ້ນໄປຫາຜູ້ອໍານວຍການຕໍ່ໄປ.

ກ. ຕົ້ນສະບັບເລີ່ມຕົ້ນຂອງ cache ແຫຼ່ງ

ຂ. target_user@local_realm

ຄ. source_user@local_realm

ຖ້າ ac ລົ້ມເຫລວ, ລອງໃຊ້ຕົ້ນທຶນທີ່ມີປີ້ຢູ່ໃນຖານຄວາມຈໍາຂອງແຫຼ່ງ
ແລະທີ່ອະນຸຍາດໃຫ້ເຂົ້າເຖິງບັນຊີເປົ້າຫມາຍ. ຖ້າມັນລົ້ມເຫລວເລືອກ
ເງິນຕົ້ນທໍາອິດທີ່ໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າເຖິງບັນຊີເປົ້າຫມາຍຈາກຂ້າງເທິງ
ບັນຊີລາຍຊື່. ຖ້າບໍ່ມີໃຜໄດ້ຮັບອະນຸຍາດ ແລະ ksu ຈະຖືກຕັ້ງຄ່າດ້ວຍ PRINC_LOOK_AHEAD ຫັນໄປ
ສຸດ, ເລືອກຕົ້ນທຶນເລີ່ມຕົ້ນດັ່ງຕໍ່ໄປນີ້:

ສໍາລັບຜູ້ສະຫມັກແຕ່ລະຄົນໃນບັນຊີລາຍຊື່ຂ້າງເທິງ, ເລືອກອໍານວຍການທີ່ໄດ້ຮັບອະນຸຍາດທີ່ມີ
ຊື່ realm ດຽວກັນແລະສ່ວນທໍາອິດຂອງຊື່ຕົ້ນຕໍເທົ່າກັບຄໍານໍາຫນ້າຂອງ
ຜູ້ສະໝັກ. ຕົວຢ່າງຖ້າຜູ້ສະຫມັກ a) ແມ່ນ [email protected] ແລະ
jqpublic/[email protected] ແມ່ນອະນຸຍາດໃຫ້ເຂົ້າເຖິງບັນຊີເປົ້າຫມາຍຫຼັງຈາກນັ້ນໄດ້
ເງິນຕົ້ນເລີ່ມຕົ້ນຖືກຕັ້ງເປັນ jqpublic/[email protected].

·ກໍລະນີ 2: ຜູ້ໃຊ້ແຫຼ່ງແມ່ນຮາກ.

ຖ້າຜູ້ໃຊ້ເປົ້າຫມາຍບໍ່ແມ່ນຮາກຫຼັງຈາກນັ້ນຊື່ຕົ້ນຕໍເລີ່ມຕົ້ນແມ່ນ
target_user@local_realm. ອື່ນ, ຖ້າ cache ແຫຼ່ງມີ, ຕົ້ນຕໍເລີ່ມຕົ້ນ
ຊື່ຖືກຕັ້ງເປັນຄ່າເລີ່ມຕົ້ນຂອງ cache ແຫຼ່ງ. ຖ້າ cache ແຫຼ່ງ
ບໍ່ມີຢູ່, ຊື່ຫຼັກເລີ່ມຕົ້ນຖືກຕັ້ງເປັນ root\@local_realm.

-c source_cache_name
ລະບຸຊື່ cache ແຫຼ່ງ (ເຊັ່ນ: -c ໄຟລ໌:/tmp/my_cache) ຖ້າຫາກວ່າ -c ທາງເລືອກບໍ່ໄດ້ຖືກນໍາໃຊ້ຫຼັງຈາກນັ້ນ
ຊື່ແມ່ນໄດ້ມາຈາກ KRB5CCNAME ສະພາບແວດລ້ອມປ່ຽນແປງ. ຖ້າ KRB5CCNAME ບໍ່​ແມ່ນ
ກໍານົດຊື່ cache ແຫຼ່ງແມ່ນຕັ້ງເປັນ krb5cc_ uid>. ຊື່ cache ເປົ້າຫມາຍແມ່ນ
ຕັ້ງອັດຕະໂນມັດເປັນ krb5cc_ uid>.(gen_sym()), ບ່ອນທີ່ gen_sym ສ້າງໃຫມ່
ຕົວເລກດັ່ງກ່າວວ່າ cache ຜົນໄດ້ຮັບບໍ່ມີຢູ່ແລ້ວ. ຍົກ​ຕົວ​ຢ່າງ:

krb5cc_1984.2

-k ຢ່າລຶບ cache ເປົ້າໝາຍເມື່ອປິດການປິດຂອງ shell ເປົ້າໝາຍ ຫຼືຄຳສັ່ງໃດໜຶ່ງ
(-e ຄໍາສັ່ງ). ໂດຍບໍ່ມີການ -k, ksu ລົບ cache ເປົ້າຫມາຍ.

-D ເປີດໂໝດດີບັກ.

-z ຈໍາ​ກັດ​ການ​ສໍາ​ເນົາ​ຂອງ​ປີ້​ຈາກ​ຖານ​ຄວາມ​ຈໍາ​ແຫຼ່ງ​ເພື່ອ cache ເປົ້າ​ຫມາຍ​ໃຫ້​ພຽງ​ແຕ່​ໄດ້​
ປີ້ທີ່ລູກຄ້າ == ຊື່ຫຼັກເປົ້າໝາຍ. ໃຊ້ -n ທາງ​ເລືອກ​ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ຕ້ອງ​ການ​
ປີ້ສໍາລັບການອື່ນໆຫຼັງຈາກນັ້ນເປັນຕົ້ນຕໍເລີ່ມຕົ້ນ. ໃຫ້ສັງເກດວ່າ -z ທາງເລືອກແມ່ນ
ສະ​ເພາະ​ເຊິ່ງ​ກັນ​ແລະ​ກັນ​ກັບ​ -Z ທາງເລືອກ.

-Z ຫ້າມຄັດລອກປີ້ໃດໆຈາກ cache ແຫຼ່ງໄປຫາ cache ເປົ້າຫມາຍ. ພຽງແຕ່ສ້າງ a
cache ເປົ້າໝາຍສົດ, ບ່ອນທີ່ຊື່ຫຼັກເລີ່ມຕົ້ນຂອງ cache ແມ່ນເລີ່ມຕົ້ນ
ຊື່​ຕົ້ນ​ຕໍ​ຂອງ​ເປົ້າ​ຫມາຍ​. ໃຫ້ສັງເກດວ່າ -Z ທາງເລືອກແມ່ນສະເພາະເຊິ່ງກັນແລະກັນກັບ
-z ທາງເລືອກ.

-q ສະກັດກັ້ນການພິມຂໍ້ຄວາມສະຖານະ.

ທາງເລືອກໃນການໃຫ້ປີ້:

-l ຕະຫຼອດຊີວິດ -r ທີ່ໃຊ້ເວລາ -pf
ທາງເລືອກໃນການໃຫ້ປີ້ປີ້ໃຊ້ກັບກໍລະນີທີ່ບໍ່ມີ
ປີ້ທີ່ເຫມາະສົມໃນ cache ເພື່ອພິສູດຢືນຢັນຜູ້ໃຊ້ແຫຼ່ງ. ໃນກໍລະນີດັ່ງກ່າວນີ້, ຖ້າ
ksu ຖືກ​ຕັ້ງ​ຄ່າ​ເພື່ອ​ເຕືອນ​ຜູ້​ໃຊ້​ສໍາ​ລັບ​ລະ​ຫັດ​ຜ່ານ Kerberos (GET_TGT_VIA_PASSWD is
ກໍານົດ), ທາງເລືອກການໃຫ້ປີ້ປີ້ທີ່ລະບຸໄວ້ຈະຖືກນໍາໃຊ້ໃນເວລາທີ່
ໄດ້ຮັບປີ້ໃຫ້ປີ້ຈາກເຊີບເວີ Kerberos.

-l ຕະຫຼອດຊີວິດ
(ໄລຍະເວລາ string.) ລະບຸໄລຍະເວລາທີ່ຕ້ອງຂໍປີ້; ຖ້ານີ້
ທາງ​ເລືອກ​ບໍ່​ໄດ້​ຖືກ​ລະ​ບຸ​ໄວ້, ຊີ​ວິດ​ຂອງ​ປີ້​ເລີ່ມ​ຕົ້ນ (12 ຊົ່ວ​ໂມງ​) ຖືກ​ນໍາ​ໃຊ້​ແທນ​ທີ່​ຈະ​.

-r ທີ່ໃຊ້ເວລາ
(ໄລຍະເວລາ string.) ລະບຸວ່າ ທົດແທນໄດ້ ທາງເລືອກຄວນໄດ້ຮັບການຮ້ອງຂໍສໍາລັບ
ປີ້, ແລະລະບຸອາຍຸທັງໝົດທີ່ຕ້ອງການຂອງປີ້.

-p ກໍານົດວ່າ ໃກ້ຄຽງ ທາງ ເລືອກ ຄວນ ໄດ້ ຮັບ ການ ຮ້ອງ ຂໍ ສໍາ ລັບ ປີ້ ໄດ້.

-f ທາງ​ເລືອກ​ລະ​ບຸ​ວ່າ​ ສົ່ງຕໍ່ໄດ້ ທາງ ເລືອກ ຄວນ ໄດ້ ຮັບ ການ ຮ້ອງ ຂໍ ສໍາ ລັບ ປີ້ ໄດ້.

-e ຄໍາສັ່ງ [ໂຕ້ຖຽງ ... ]
ksu ດໍາເນີນການຄືກັນກັບວ່າມັນຖືກເອີ້ນໂດຍບໍ່ມີ -e ທາງເລືອກ, ຍົກເວັ້ນ
ແທນທີ່ຈະປະຕິບັດ shell ເປົ້າຫມາຍ, ksu ປະຕິບັດຄໍາສັ່ງທີ່ກໍານົດໄວ້. ຕົວຢ່າງ
ການ​ນໍາ​ໃຊ້​:

ksu bob -e ls -lag

ຂັ້ນຕອນການອະນຸຍາດສໍາລັບ -e ແມ່ນດັ່ງຕໍ່ໄປນີ້:

ຖ້າຜູ້ໃຊ້ແຫຼ່ງແມ່ນຮາກຫຼືຜູ້ໃຊ້ແຫຼ່ງ == ຜູ້ໃຊ້ເປົ້າຫມາຍ, ບໍ່ມີການອະນຸຍາດໃດໆ
ສະຖານທີ່ແລະຄໍາສັ່ງຖືກປະຕິບັດ. ຖ້າແຫຼ່ງ id ຜູ້ໃຊ້ != 0, ແລະ
~target_user/.k5users ບໍ່ມີໄຟລ໌, ການອະນຸຍາດລົ້ມເຫລວ. ຖ້າບໍ່ດັ່ງນັ້ນ,
~target_user/.k5users ໄຟລ໌ຕ້ອງມີການເຂົ້າທີ່ເຫມາະສົມສໍາລັບເປົ້າຫມາຍຕົ້ນຕໍ
ໄດ້​ຮັບ​ອະ​ນຸ​ຍາດ​.

ຮູບແບບໄຟລ໌ .k5users:

ການປ້ອນຂໍ້ມູນຫຼັກອັນດຽວໃນແຕ່ລະແຖວທີ່ອາດຈະປະຕິບັດຕາມດ້ວຍລາຍການຄຳສັ່ງ
ວ່າ ອໍາ ນວຍ ການ ແມ່ນ ອະ ນຸ ຍາດ ໃຫ້ ປະ ຕິ ບັດ. ຊື່ຫຼັກຕາມດ້ວຍ ກ *
ຫມາຍຄວາມວ່າຜູ້ໃຊ້ໄດ້ຮັບອະນຸຍາດໃຫ້ປະຕິບັດຄໍາສັ່ງໃດໆ. ດັ່ງນັ້ນ, ໃນດັ່ງຕໍ່ໄປນີ້
ຍົກຕົວຢ່າງ:

[email protected] ls mail /local/kerberos/klist
jqpublic/[email protected] *
jqpublic/[email protected]

[email protected] ແມ່ນ​ພຽງ​ແຕ່​ອະ​ນຸ​ຍາດ​ໃຫ້​ປະ​ຕິ​ບັດ​ ls, ອີເມວ ແລະ klist ຄຳ ສັ່ງ.
jqpublic/[email protected] ແມ່ນອະນຸຍາດໃຫ້ປະຕິບັດຄໍາສັ່ງໃດໆ.
jqpublic/[email protected] ບໍ່ໄດ້ຮັບອະນຸຍາດໃຫ້ປະຕິບັດຄໍາສັ່ງໃດໆ. ຫມາຍເຫດ, ວ່າ
jqpublic/[email protected] ໄດ້ຖືກອະນຸຍາດໃຫ້ປະຕິບັດ shell ເປົ້າຫມາຍ (ksu ປົກກະຕິ,
ໂດຍບໍ່ມີການ -e ທາງເລືອກ) ແຕ່ [email protected] ບໍ່​ແມ່ນ.

ຄໍາສັ່ງທີ່ລະບຸໄວ້ຫຼັງຈາກຊື່ຕົ້ນຕໍຈະຕ້ອງເປັນຊື່ເສັ້ນທາງເຕັມຫຼື
ພຽງແຕ່ຊື່ໂຄງການ. ໃນກໍລະນີທີສອງ, CMD_PATH ການ​ລະ​ບຸ​ທີ່​ຕັ້ງ​ຂອງ​
ໂປລແກລມທີ່ໄດ້ຮັບອະນຸຍາດຕ້ອງຖືກກໍານົດໃນເວລາລວບລວມຂອງ ksu. ຄໍາສັ່ງໃດ
ໄດ້​ຮັບ​ການ​ປະ​ຕິ​ບັດ​?

ຖ້າຜູ້ໃຊ້ແຫຼ່ງແມ່ນຮາກຫຼືຜູ້ໃຊ້ເປົ້າຫມາຍແມ່ນຜູ້ໃຊ້ແຫຼ່ງຫຼືຜູ້ໃຊ້ແມ່ນ
ອະນຸຍາດໃຫ້ປະຕິບັດຄໍາສັ່ງໃດໆ (* entry) ຫຼັງຈາກນັ້ນຄໍາສັ່ງສາມາດເປັນເຕັມຫຼື a
ເສັ້ນທາງພີ່ນ້ອງທີ່ນໍາໄປສູ່ໂຄງການເປົ້າຫມາຍ. ຖ້າບໍ່ດັ່ງນັ້ນ, ຜູ້ໃຊ້ຕ້ອງລະບຸ
ບໍ່ວ່າຈະເປັນເສັ້ນທາງເຕັມຫຼືພຽງແຕ່ຊື່ໂຄງການ.

-a ໂຕ້ຖຽງ
ລະບຸອາກິວເມັນທີ່ຈະຖືກສົ່ງຕໍ່ກັບແກະເປົ້າໝາຍ. ໃຫ້ສັງເກດວ່າທຸງທັງຫມົດແລະ
ຕົວກໍານົດການດັ່ງຕໍ່ໄປນີ້ -a ຈະຖືກສົ່ງກັບແກະ, ດັ່ງນັ້ນທາງເລືອກທັງຫມົດທີ່ມີຈຸດປະສົງ
ksu ຕ້ອງນຳໜ້າ -a.

ໄດ້ -a ທາງເລືອກສາມາດຖືກນໍາໃຊ້ເພື່ອຈໍາລອງ -e ທາງ​ເລືອກ​ຖ້າ​ຫາກ​ວ່າ​ການ​ນໍາ​ໃຊ້​ດັ່ງ​ຕໍ່​ໄປ​ນີ້​:

-a -c [ຄໍາສັ່ງ [ການໂຕ້ຖຽງ]].

-c ຖືກຕີຄວາມໂດຍ c-shell ເພື່ອປະຕິບັດຄໍາສັ່ງ.

ການຕິດຕັ້ງ ຄໍາແນະນໍາ

ksu ສາມາດຖືກລວບລວມດ້ວຍສີ່ທຸງຕໍ່ໄປນີ້:

GET_TGT_VIA_PASSWD
ໃນກໍລະນີທີ່ບໍ່ພົບປີ້ທີ່ເຫມາະສົມໃນຖານຄວາມຈໍາຂອງແຫຼ່ງ, ຜູ້ໃຊ້ຈະເປັນ
ຖືກຖາມຫາລະຫັດຜ່ານ Kerberos. ຫຼັງຈາກນັ້ນ, ລະຫັດຜ່ານຖືກນໍາໃຊ້ເພື່ອຮັບປີ້
ການໃຫ້ປີ້ຈາກເຊີບເວີ Kerberos. ອັນຕະລາຍຂອງການຕັ້ງຄ່າ ksu ກັບສິ່ງນີ້
ມະຫາພາກແມ່ນຖ້າຜູ້ໃຊ້ແຫຼ່ງເຂົ້າລະບົບຈາກໄລຍະໄກ ແລະບໍ່ມີຄວາມປອດໄພ
ຊ່ອງທາງ, ລະຫັດຜ່ານອາດຈະໄດ້ຮັບການເປີດເຜີຍ.

PRINC_LOOK_AHEAD
ໃນລະຫວ່າງການແກ້ໄຂບັນຫາຂອງຊື່ຕົ້ນສະບັບເລີ່ມຕົ້ນ, PRINC_LOOK_AHEAD ເປີດໃຊ້ ksu
ເພື່ອຊອກຫາຊື່ຕົ້ນຕໍໃນໄຟລ໌ .k5users ຕາມທີ່ອະທິບາຍໄວ້ໃນພາກ OPTIONS
(ເບິ່ງ -n ທາງ​ເລືອກ).

CMD_PATH
ລະບຸລາຍຊື່ຂອງໄດເລກະທໍລີທີ່ມີໂປຼແກຼມທີ່ຜູ້ໃຊ້ໄດ້ຮັບອະນຸຍາດ
ປະຕິບັດ (ຜ່ານໄຟລ໌ .k5users).

HAVE_GETUSERSHELL
ຖ້າຜູ້ໃຊ້ແຫຼ່ງບໍ່ແມ່ນຮາກ, ksu ຮຽກຮ້ອງໃຫ້ຫອຍຂອງຜູ້ໃຊ້ເປົ້າຫມາຍທີ່ຈະເປັນ
invoked ແມ່ນ "ເປືອກ​ຫຸ້ມ​ນອກ​ທາງ​ກົດ​ຫມາຍ​"​. getusershell(3​) ໄດ້​ຖືກ​ເອີ້ນ​ໃຫ້​ໄດ້​ຮັບ​ຊື່​ຂອງ​
"ຫອຍທາງກົດຫມາຍ". ໃຫ້ສັງເກດວ່າ shell ຂອງຜູ້ໃຊ້ເປົ້າຫມາຍແມ່ນໄດ້ມາຈາກ passwd
ຍື່ນ.

ຕົວ​ຢ່າງ​ການ​ຕັ້ງ​ຄ່າ​:

KSU_OPTS = -DGET_TGT_VIA_PASSWD -DPRINC_LOOK_AHEAD -DCMD_PATH='"/ ຖັງ /usr/ucb /local/bin"

ksu ຄວນຈະເປັນເຈົ້າຂອງໂດຍ root ແລະເປີດ bit id ຜູ້ໃຊ້ທີ່ກໍານົດໄວ້.

ksu ພະຍາຍາມເອົາປີ້ສໍາລັບເຄື່ອງແມ່ຂ່າຍສຸດທ້າຍຄືກັນກັບ Kerberized telnet ແລະ rlogin.
ດັ່ງນັ້ນ, ຕ້ອງມີການເຂົ້າສໍາລັບເຄື່ອງແມ່ຂ່າຍໃນຖານຂໍ້ມູນ Kerberos (ຕົວຢ່າງ:
ເຈົ້າພາບ/[email protected]). ໄຟລ໌ປຸ່ມກົດຕ້ອງຢູ່ໃນສະຖານທີ່ທີ່ເຫມາະສົມ.

SIDE ຜົນກະທົບ

ksu ລຶບປີ້ໝົດອາຍຸທັງໝົດອອກຈາກແຄດແຫຼ່ງທີ່ມາ.

ຜູ້ຂຽນ OF ກຊສ

GENNADY (ARI) MEDVINSKY

ໃຊ້ ksu ອອນໄລນ໌ໂດຍໃຊ້ບໍລິການ onworks.net