Activité 5

3. Kerberos

OpenLDAP ne permettant pas à lui seul une authentification sécurisée car il envoie ses paquets en clair, Kerberos est utilisé pour la gestion des clefs et de l’authentification. Pour cela, j’installe les deux éléments de Kerberos : le KDC (gestionnaire de clefs) et le « kadmind » qui est le serveur maître de Kerberos et qui permettra l’administration de la base de données de Kerberos.

sudo apt install krb5-{admin-server,kdc}

 Je rentre ensuite les informations demandées pour la configuration, le nom de domaine, l’emplacement des serveurs par defaut, leur noms, la création automatique de la configuration du KDC…

Je lance alors la création du territoire (realm) de Kerberos, ce sera le nom de sa zone d’execution.

sudo krb5_newrealm

J’ajuste ensuite le fichier /etc/krb5.conf , pour ajouter dans la section [domain_realm] les definitions des addresses du DNS qui correspondent au territoire de Kerberos. J’y ajoute aussi une section à la fin du fichier :

[logging]

    kdc = FILE:/var/log/kerberos/krb5kdc.log

    admin_server = FILE:/var/log/kerberos/kadmin.log

    default = FILE:/var/log/kerberos/krb5lib.log

Puis pour créer le repertoire logging , et mettre à jour les permissions, je lance les commandes :

sudo mkdir /var/log/kerberos

sudo touch /var/log/kerberos/{krb5kdc,kadmin,krb5lib}.log

sudo chmod -R 750  /var/log/kerberos

sudo invoke-rc.d krb5-kdc restart

sudo invoke-rc.d krb5-admin-server restart

À partir de là, la configuration de base de kerberos est effectuée. Il faut alors définir les différents niveaux de droits qu’auront les différents comptes qui seront en relation avec Kerberos, en fonction de leurs catégories.

sudo kadmin.local

Authenticating as principal root/admin@RAYAN-POUSSUET.LOCAL with password.

add_policy -minlength 8 -minclasses 3 admin

add_policy -minlength 8 -minclasses 4 host

add_policy -minlength 8 -minclasses 4 service

add_policy -minlength 8 -minclasses 2 user

quit

Aucun compte utilisateur n’ayant été configuré, kadmin.local nous identifie en tant que root/admin, je créé donc le premier compte administrateur :

sudo kadmin.local

addprinc -policy admin rayan/admin

Enter password for principal « rayan/admin@RAYAN-POUSSUET.LOCAL »: PASSWORD

Re-enter password for principal « rayan/admin@RAYAN-POUSSUET.LOCAL « : PASSWORD

Principal « rayan/admin@RAYAN-POUSSUET.LOCAL  » created.

quit

La même procedure peut être effectuée pour un compte lambda sans privilèges particuliers :

kadmin -p rayan/admin

Authenticating as principal rayan/admin@RAYAN-POUSSUET.LOCAL with password.

Password for rayan/admin@RAYAN-POUSSUET.LOCAL: PASSWORD

addprinc -policy user test

Enter password for principal « test@RAYAN-POUSSUET.LOCAL « : PASSWORD

Re-enter password for principal « test@RAYAN-POUSSUET.LOCAL »: PASSWORD

Principal « test@RAYAN-POUSSUET.LOCAL  » created.

quit

Ainsi la configuration d’OpenLDAP et de Kerberos est faite, il ne reste qu’à les lier grâce à PAM. Je l’installe donc grâce à cette commande :

sudo apt install libpam-ldap libpam-krb5