Πριν γίνει η εγκατάσταση του εξυπηρετητή Kerberos, το domain σας χρειάζεται έναν κατάλληλα ρυθμισμένο εξυπηρετητή DNS. Επειδή το Kerberos Realm κατά σύμβαση συμπίπτει με το όνομα του domain, αυτή η ενότητα χρησιμοποιεί το domain example.com που είχε καθοριστεί στο “Κύριος Master”.

Επιπλέον, το Kerberos αποτελεί πρωτόκολλο που εξαρτάται από την ώρα. Άρα, αν η ώρα τοπικού συστήματος ενός πελάτη και του εξυπηρετητή απέχουν περισσότερο από πέντε λεπτά (προεπιλογή), δε θα είναι δυνατή η πιστοποίηση του σταθμού εργασίας. Για να επιλύσετε αυτό το πρόβλημα, θα πρέπει να συγχρονίσετε όλα τα μηχανήματα με το Network Time Protocol (NTP - Πρωτόκολλο Ώρας Δικτύου). Για περισσότερες λεπτομέρειες σχετικά με το NTP δείτε το “Συγχρονισμός Ώρας με NTP”.

Το πρώτο βήμα για την εγκατάσταση ενός Kerberos Realm είναι η εγκατάσταση των πακέτων krb5-kdc και krb5-admin-server. Από το τερματικό, δίνετε:

sudo apt-get install krb5-kdc krb5-admin-server

Στο τέλος της εγκατάστασης θα σας ζητηθεί ένα όνομα για τους εξυπηρετητές Kerberos και διαχειριστή του realm, που δεν είναι απαραίτητο να βρίσκονται σε διαφορετικούς εξυπηρετητές.

Στη συνέχεια, δημιουργήστε το νέο realm χρησιμοποιώντας το kdb5_newrealm:

sudo krb5_newrealm

Οι ερωτήσεις κατά τη διάρκεια της εγκατάστασης χρησιμοποιούνται για τη ρύθμιση του αρχείου /etc/krb5.conf. Αν χρειαστεί να αλλάξετε τις ρυθμίσεις του KDC, απλά τροποποιήστε αυτό το αρχείο και επανεκκινήστε την υπηρεσία krb5-kdc.

Το νέο Kerberos Realm είναι πλέον σε θέση να πιστοποιεί πελάτες.

Για να γίνει η πιστοποίηση σε realm Kerberos, απαιτούνται τα πακέτα krb5-user και libpam-krb5, καθώς και ορισμένα ακόμη, που, αν και δεν είναι απολύτως απαραίτητα, διευκολύνουν σημαντικά το έργο σας. Για να τα εγκαταστήσετε, πληκτρολογείτε στο τερματικό:

sudo apt-get install krb5-user libpam-krb5 libpam-ccreds auth-client-config

Το πακέτο auth-client-config σας επιτρέπει να ρυθμίζεται εύκολα το PAM για πιστοποίηση από πολλαπλές πηγές, ενώ το libpam-ccreds αποθηκεύει τα στοιχεία πιστοποίησης, έτσι ώστε να μπορείτε να κάνετε είσοδο σε περίπτωση που το Κέντρο Διανομής Κλειδιών (KDC) δεν είναι διαθέσιμο. Το πακέτο αυτό είναι χρήσιμο και για φορητούς υπολογιστές που κάνουν πιστοποίηση μέσω Kerberos όταν βρίσκονται στο εταιρικό δίκτυο, αλλά που θα πρέπει να μπορούν να χρησιμοποιηθούν και εκτός δικτύου.

Για να ρυθμίσετε τον πελάτη, είσαγετε τα παρακάτω στο τερματικό:

sudo dpkg-reconfigure krb5-config

Θα σας ζητηθεί το όνομα του realm του Kerberos. Επίσης, αν το DNS δεν έχει ρυθμιστεί με τις εγγραφές SRV του Kerberos, θα σας ζητηθεί το hostname του KDC και ο εξυπηρετητής διαχείρισης του realm.

Το dpkg-reconfigure προσθέτει εγγραφές στο αρχείο /etc/krb5.conf του realm. Οι εγγραφές σας θα πρέπει να μοιάζουν στις ακόλουθες:

[libdefaults]
        default_realm = EXAMPLE.COM
...
[realms]
        EXAMPLE.COM = }                
                kdc = 192.168.0.1               
                admin_server = 192.168.0.1
        }

Μπορείτε να δοκιμάσετε τις ρυθμίσεις ζητώντας ένα δελτίο (ticket) μέσω του kinit. Π.χ.:

kinit steve@EXAMPLE.COM
Password for steve@EXAMPLE.COM:

Αφού εκχωρηθεί το δελτίο, μπορείτε να δείτε τις σχετικές πληροφορίες μέσω klist:

klist
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: steve@EXAMPLE.COM

Valid starting     Expires            Service principal
07/24/08 05:18:56  07/24/08 15:18:56  krbtgt/EXAMPLE.COM@EXAMPLE.COM
        renew until 07/25/08 05:18:57


Kerberos 4 ticket cache: /tmp/tkt1000
klist: You have no tickets cached

Στη συνέχεια, χρησιμοποιήστε το auth-client-config για να ρυθμίσετε το άρθρωμα libpam-krb5 έτσι ώστε να ζητάει δελτίο κατά την είσοδο:

sudo auth-client-config -a -p kerberos_example

Θα πρέπει πλέον να λαμβάνετε δελτίο μετά από κάθε επιτυχή πιστοποίηση εισόδου.