Για να φορτώσετε το σχήμα στο LDAP, εγκαταστήστε το πακέτο krb5-kdc-ldap στον εξυπηρετητή LDAP. Από το τερματικό, δίνετε:

sudo apt-get install krb5-kdc-ldap

Στη συνέχεια, εξάγετε το αρχείο kerberos.schema.gz:

sudo gzip -d /usr/share/doc/krb5-kdc-ldap/kerberos.schema.gz
sudo cp /usr/share/doc/krb5-kdc-ldap/kerberos.schema /etc/ldap/schema/

Το σχήμα του kerberos πρέπει να προστεθεί στο δέντρο του cn=config. Η διαδικασία προσθήκης νέου σχήματος στο slapd περιγράφεται και στο “Περαιτέρω ρυθμίσεις”.

Καταρχάς, εγκαταστήστε τα απαραίτητα πακέτα από το τερματικό, εισάγοντας:

sudo apt-get install krb5-kdc krb5-admin-server krb5-kdc-ldap

Τώρα, τροποποιήστε το /etc/krb5.conf, προσθέτοντας τις ακόλουθες επιλογές στα κατάλληλα σημεία:

[libdefaults]
        default_realm = EXAMPLE.COM

...

[realms]
        EXAMPLE.COM = {
                kdc = kdc01.example.com
                kdc = kdc02.example.com
                admin_server = kdc01.example.com
                admin_server = kdc02.example.com
                default_domain = example.com
                database_module = openldap_ldapconf
        }

...

[domain_realm]
        .example.com = EXAMPLE.COM


...

[dbdefaults]
        ldap_kerberos_container_dn = dc=example,dc=com

[dbmodules]
        openldap_ldapconf = {
                db_library = kldap
                ldap_kdc_dn = "cn=admin,dc=example,dc=com"

                # this object needs to have read rights on
                # the realm container, principal container and realm sub-trees
                ldap_kadmind_dn = "cn=admin,dc=example,dc=com"

                # this object needs to have read and write rights on
                # the realm container, principal container and realm sub-trees
                ldap_service_password_file = /etc/krb5kdc/service.keyfile
                ldap_servers = ldaps://ldap01.example.com ldaps://ldap02.example.com
                ldap_conns_per_server = 5
        }

	Αντικαταστήστε τα example.com, dc=example,dc=com, cn=admin,dc=example,dc=com, and ldap01.example.com με το κατάλληλο domain, αντικείμενο LDAP, και εξυπηρετητή LDAP.

Στη συνέχεια, χρησιμοποιήστε το kdb5_ldap_util για να δημιουργήσετε το realm:

sudo kdb5_ldap_util -D cn=admin,dc=example,dc=com create -subtrees dc=example,dc=com -r EXAMPLE.COM -s -H ldap://ldap01.example.com

Αποθηκεύστε κρυφά (stash) τον κωδικό που χρησιμοποιείται σε σύνδεση με τον εξυπηρετητή LDAP. Πρόκειται για τον κωδικό που χρησιμοποιείται στις επιλογές ldap_kdc_dn και ldap_kadmin_dn του /etc/krb5.conf:

sudo kdb5_ldap_util -D cn=admin,dc=example,dc=com stashsrvpw -f /etc/krb5kdc/service.keyfile cn=admin,dc=example,dc=com

Αντιγράψτε το πιστοποιητικό CA από τον εξυπηρετητή LDAP:

scp ldap01:/etc/ssl/certs/cacert.pem .
sudo cp cacert.pem /etc/ssl/certs

Και αλλάξτε το /etc/ldap/ldap.conf έτσι ώστε να χρησιμοποιεί το πιστοποιητικό:

TLS_CACERT /etc/ssl/certs/cacert.pem

	Το πιστοποιητικό θα πρέπει να αντιγραφεί και στο δευτερεύον KDC, για να επιτρέπεται η σύνδεση στους εξυπηρετητές LDAP μέσω LDAPS.

Καταρχάς, εγκαταστήστε τα απαραίτητα πακέτα από το τερματικό, εισάγοντας:

sudo apt-get install krb5-kdc krb5-admin-server krb5-kdc-ldap

Στη συνέχεια, τροποποιήστε το /etc/krb5.conf ώστε να χρησιμοποιεί το backend του LDAP:

[libdefaults]
        default_realm = EXAMPLE.COM

...

[realms]
        EXAMPLE.COM = {
                kdc = kdc01.example.com
                kdc = kdc02.example.com
                admin_server = kdc01.example.com
                admin_server = kdc02.example.com
                default_domain = example.com
                database_module = openldap_ldapconf
        }

...

[domain_realm]
        .example.com = EXAMPLE.COM

...

[dbdefaults]
        ldap_kerberos_container_dn = dc=example,dc=com

[dbmodules]
        openldap_ldapconf = {
                db_library = kldap
                ldap_kdc_dn = "cn=admin,dc=example,dc=com"

                # this object needs to have read rights on
                # the realm container, principal container and realm sub-trees
                ldap_kadmind_dn = "cn=admin,dc=example,dc=com"

                # this object needs to have read and write rights on
                # the realm container, principal container and realm sub-trees
                ldap_service_password_file = /etc/krb5kdc/service.keyfile
                ldap_servers = ldaps://ldap01.example.com ldaps://ldap02.example.com
                ldap_conns_per_server = 5
        }

Αποθηκεύστε τον κωδικό (stash) σύνδεσης με το LDAP:

sudo kdb5_ldap_util -D cn=admin,dc=example,dc=com stashsrvpw -f /etc/krb5kdc/service.keyfile cn=admin,dc=example,dc=com

Τώρα, στο πρωτεύον KDC αντιγράψτε το κρυμμένο κύριο κλειδί (master) του /etc/krb5kdc/.k5.EXAMPLE.COM στο δευτερεύον KDC. Θυμηθείτε να κάνετε την αντιγραφή μέσω κρυπτογραφημένης σύνδεσης, π.χ. με το scp, ή χρησιμοποιώντας φυσικό μέσο.

sudo scp /etc/krb5kdc/.k5.EXAMPLE.COM steve@kdc02.example.com:~
sudo mv .k5.EXAMPLE.COM /etc/krb5kdc/

	Και εδώ, αντικαταστήστε το EXAMPLE.COM με το δικό σας realm.

Τέλος, εκκινήστε την υπηρεσία krb5-kdc:

sudo /etc/init.d/krb5-kdc start

O οδηγός διαχείρισης του Kerberos διαθέτει ορισμένες επιπλέον λεπτομέρειες.

For more information on kdb5_ldap_util see Section 5.6 and the kdb5_ldap_util man page.

Another useful link is the krb5.conf man page.

Also, see the Kerberos and LDAP Ubuntu wiki page.