Client Anmeldung via Kerberos

[skrohm]

Hallo Leute,

ich hab da aktuell ein Problem, bei dem ich mal einen Tipp gebrauchten könnte.

Ausgangssituation:
Ich habe einen Mac OS X Server (10.6.3) und einen Mac OS X (10.6.3) Client. Der
Server ist ein Open Directory Master mit Kerberos und entsprechenden OD-Benutzern.
Die Benutzer sollen sich am Client mit Ihren OD-Benutzern anmelden und zur
Autorisierung soll Kerberos, also Single-Sign-On, genutzt werden. Außerdem
haben die Benutzer serverbasierende Benutzerordner, die per AFP freigegeben
sind. Der Client ist natürlich ins OD eingebunden, DNS läuft sauber... soweit die
Ausgangssituation.

Jetzt zu meinem Problem:
Wenn ich beim AFP-Server die Anmeldung auf "Beliebig" setze, soll ja zuerst
Kerberos versucht werden, wenn das nicht klappt die "Standard" Anmeldung.
Wenn ich mich so am Client anmelde, klappt diese auch und ich kann auf mein
Profil zugreifen und es liegt auch auf die Server und nicht auf dem Client, da
dort kein Ordner lokal zu sehen ist.

Wenn ich dann auf den Server über die Seitenleiste im Finder zugreife, bin
ich nicht verbunden. Ein Blick in den TicketViewer oder im Terminal mittels
"klist" zeigt, dass kein Ticket vorhanden ist. Wenn ich das TGT mittels Viewer
oder "kinit" mit Passwort anfordere, dann habe anschließend auch eins und
komme auf den Server über die Seitenleiste ohne erneute Anmeldung ran.

Eigentlich müsste ich doch ein entsprechendes Ticket nach der Anmeldung
schon haben, oder?

Wenn ich dann im AFP-Server die Anmeldung auf "Kerberos" stelle, kann ich
mich gar nicht mehr anmelden. Hier scheint wohl der Zugriff auf den
Benutzerordner nicht mehr zu klappen, also auch keine Anmeldung.

Ich habe gefühlt das halbe Internet abgesucht, doch nix gefunden, nur
Tipps an der "authorization" Datei im etc-Verzeichnis zu basteln, das
scheinen aber nur Tipps aus 10.2/10.3er Zeiten zu sein und haben bei
mir (10.6) nur die Anmeldung ganz aus dem Tritt gebracht.

Hat jemand eine Idee oder vielleicht bin ich ja grundsätzlich auf dem
Holzweg mit meinen Annahmen...

Gruß,
skrohm

 

[Steinchen]

Hi,

auf wen ist denn das tgt ausgestellt? Dich oder den Rechner?

Normalerweise muss man sich einmal via Kerberos authentifizieren per Passwort um das für den User gültige Ticket zubekommen.

...IIRC.

cu

 

[skrohm]

Hallo Steinchen,

wenn ich mich anmelde und direkt im Terminal "klist" eingebe, habe ich kein Ticket. Das geht ja auch nur, wenn ich die die Anmeldung im Server-Admin bei AFP auf "Beliebig" stelle. Wenn ich dort "Kerberos" auswähle, klappt die Anmeldung ja gar nicht, ich denke mal das dann die auf dem Server gespeicherten Profildaten eben nicht geladen werden können und somit gar keine Anmeldung möglich ist.

Gebe ich aber nach der erfolgreichen Anmeldung (AFP = beliebig) im Terminal "kinit" ein, schlägt er mir auch gleich den Namen des angemeldeten Benutzers vor und fragt nach dessen Passwort. Danach habe ich ein Ticket auf auf den Benutzer, soweit ich das sehe (Default principal: [email protected]). Den Zugriff auf den Server via AFP erfolgt dann auch ohne erneute Passworteingabe.

Was ich eben nicht verstehe ist, dass ich nach der erfolgreichen Anmeldung am Client nicht schon ein Ticket habe, das Passwort und der Benutzername waren da ja bekannt.

> Normalerweise muss man sich einmal via Kerberos authentifizieren per Passwort um das für den User gültige Ticket zubekommen.

OK..., doch wozu ist denn dann die Anmeldung via "Kerberos" bei AFP im Server-Admin gut? Ich dachte eben, dass so "Single-Sign-On" laufen würde, dass man sich eben nur einmal bei der Anmeldung authentifiziert und dann alle kerberisierten Dienste ohne erneute Passworteingabe funktionieren.

Gruß,
skrohm

 

[Steinchen]

Hi,

du musst unterscheiden *wo* du dich anmeldest. Beim Anmelden am Rechner scheinst du dich zunächst nur lokal anzumelden und das TGT das du bekommst scheint auf den Rechner zu laufen. (Über die Ausgabe von "klist" nach dem Anmelden am Rechner würde ich mich wirklich mal freuen, dann wüsste man nämlich ob man ein TGT für den Rechner oder den Nutzer hat).

Wenn du dann *lokal* am Rechner angemeldet bist muss noch einmal eine Anmeldung am Directoryserver erfolgen. Ist diese erfolgt und du hast ein TGT auf den User, dann funktioniert dein SSO.

Der Unterschied bei AFP zwischen "beliebiger Anmeldung" und "Kerberos only" müsste der sein, das der Fileserver bei letzterem nicht auch die Authentifizierung übernimmt sondern nurnoch die Authorisierung.

Dadurch kann man Last vom Fileserver nehmen.

Ich denke mal direkt beim Login ein TGT auf den User zu bekommen sollte möglich sein, die Frage ist halt wie.

cu