نام (NAME)

kdc.conf - فایل پیکربندی مرکز توزیع کلید (KDC) کربروس ۵

فایل kdc.conf مکمل krb5.conf برای برنامه‌هایی است که معمولاً فقط در یک KDC استفاده می‌شوند، مانند دیمن‌های krb5kdc و kadmind و برنامه kdb5_util. روابط مستندشده در اینجا ممکن است در krb5.conf نیز مشخص شوند؛ برای برنامه‌های ذکرشده KDC، فایل‌های krb5.conf و kdc.conf در یک نمایه پیکربندی واحد ادغام خواهند شد.

به‌طور معمول، فایل kdc.conf در دایرکتوری وضعیت KDC، /var/lib/krb5kdc قرار دارد. شما می‌توانید مکان پیش‌فرض را با تنظیم متغیر محیطی KRB5_KDC_PROFILE لغو و بازنویسی کنید.

لطفاً توجه داشته باشید که برای اعمال هرگونه تغییر در پیکربندی، لازم است دیمن KDC را مجدداً راه‌اندازی کنید.

ساختار (STRUCTURE)

فایل kdc.conf با همان ساختار و قالب فایل krb5.conf تنظیم شده است.

بخش‌ها (SECTIONS)

فایل kdc.conf می‌تواند شامل بخش‌های زیر باشد:

[realms]
    ATHENA.MIT.EDU = {
        max_renewable_life = 7d 0h 0m 0s
    }

[dbmodules]
    ATHENA.MIT.EDU = {
        disable_last_success = true
    }

[logging]
    kdc = CONSOLE
    kdc = SYSLOG:INFO:DAEMON
    admin_server = FILE:/var/adm/kadmin.log
    admin_server = DEVICE=/dev/tty04

[otp]
    MyRemoteTokenType = {
        server = radius.mydomain.com:1812
        secret = SEmfiajf42$
        timeout = 15
        retries = 5
        strip_realm = true
    }

[otp]
    DEFAULT = {
        strip_realm = false
    }

گزینه‌های PKINIT (PKINIT OPTIONS)

نکته:

[realms]
    EXAMPLE.COM = {
        pkinit_anchors = FILE:/usr/local/example.com.crt
    }

[kdcdefaults]
    pkinit_anchors = DIR:/usr/local/generic_trusted_cas/

برای کسب اطلاعات درباره نحو برخی از این گزینه‌ها، به بخش Specifying PKINIT identity information در krb5.conf مراجعه کنید.

انواع رمزنگاری (ENCRYPTION TYPES)

هر برچسبی در فایل‌های پیکربندی که نیازمند فهرستی از انواع رمزنگاری است، می‌تواند روی ترکیبی از رشته‌های زیر تنظیم شود. انواع رمزنگاری علامت‌گذاری‌شده با "ضعیف (weak)" و "منسوخ‌شده (deprecated)" برای سازگاری در دسترس هستند اما استفاده از آن‌ها توصیه نمی‌شود.

رشته DEFAULT می‌تواند برای اشاره به مجموعه پیش‌فرض انواع برای متغیر مورد نظر استفاده شود. انواع یا خانواده‌ها را می‌توان با افزودن یک علامت منفی ("-") به عنوان پیشوند، از فهرست فعلی حذف کرد. برای حفظ تقارن می‌توان به انواع یا خانواده‌ها یک علامت مثبت ("+") پیشوند داد؛ این کار معنایی معادل با صرفاً ذکر کردن نوع یا خانواده دارد. برای نمونه، "DEFAULT -rc4" نشان‌دهنده مجموعه پیش‌فرض انواع رمزنگاری با حذف انواع RC4 خواهد بود، و "des3 DEFAULT" مجموعه پیش‌فرض انواع رمزنگاری است که در آن انواع triple DES به ابتدا منتقل شده‌اند.

اگرچه aes128-cts و aes256-cts برای تمام عملیات کربروس پشتیبانی می‌شوند، اما توسط نگارش‌های بسیار قدیمی پیاده‌سازی GSSAPI ما (krb5-1.3.1 و قدیمی‌تر) پشتیبانی نمی‌شوند. به سرویس‌هایی که نگارش‌هایی از krb5 فاقد پشتیبانی AES را اجرا می‌کنند، نباید کلیدهایی از این انواع رمزنگاری در پایگاه‌داده KDC اختصاص داده شود.

انواع رمزنگاری aes128-sha2 و aes256-sha2 در نگارش ۱.۱۵ جدید هستند. به سرویس‌هایی که نگارش‌هایی از krb5 فاقد پشتیبانی از این انواع رمزنگاری جدیدتر را اجرا می‌کنند، نباید کلیدهایی از این انواع رمزنگاری در پایگاه‌داده KDC اختصاص داده شود.

فهرست‌های کلید-نمک (KEYSALT LISTS)

کلیدهای کربروس برای کاربران معمولاً از گذرواژه‌ها مشتق می‌شوند. دستورات و پارامترهای پیکربندی کربروس که بر تولید کلیدها تأثیر می‌گذارند، فهرست‌هایی از جفت‌های نوع رمزنگاری-نوع نمک (enctype-salttype یا "keysalt") را می‌پذیرند که با عنوان فهرست‌های کلید-نمک (keysalt lists) شناخته می‌شوند. هر جفت کلید-نمک، یک نام نوع رمزنگاری (enctype) است که به دنبال آن یک نام نوع نمک (salttype) با قالب enc:salt می‌آید. اعضای مجزای فهرست کلید-نمک با نویسه‌های کاما (",") یا نویسه‌های فاصله از یکدیگر جدا می‌شوند. برای نمونه:

kadmin -e aes256-cts:normal,aes128-cts:normal

برنامه kadmin را طوری راه‌اندازی می‌کند که به صورت پیش‌فرض، کلیدهای مشتق‌شده از گذرواژه را برای انواع رمزنگاری aes256-cts و aes128-cts، با استفاده از یک نمک normal تولید کند.

برای اطمینان از اینکه افرادی که اتفاقاً گذرواژه یکسانی را انتخاب می‌کنند دارای کلید یکسانی نباشند، کربروس ۵ با استفاده از چیزی به نام نمک (salt)، اطلاعات بیشتری را در کلید می‌گنجاند. انواع نمک پشتیبانی‌شده به شرح زیر هستند:

نمونه فایل KDC.CONF (SAMPLE KDC.CONF FILE)

در اینجا نمونه‌ای از یک فایل kdc.conf آمده است:

[kdcdefaults]
    kdc_listen = 88
    kdc_tcp_listen = 88
[realms]
    ATHENA.MIT.EDU = {
        kadmind_port = 749
        max_life = 12h 0m 0s
        max_renewable_life = 7d 0h 0m 0s
        master_key_type = aes256-cts-hmac-sha1-96
        supported_enctypes = aes256-cts-hmac-sha1-96:normal aes128-cts-hmac-sha1-96:normal
        database_module = openldap_ldapconf
    }
[logging]
    kdc = FILE:/usr/local/var/krb5kdc/kdc.log
    admin_server = FILE:/usr/local/var/krb5kdc/kadmin.log
[dbdefaults]
    ldap_kerberos_container_dn = cn=krbcontainer,dc=mit,dc=edu
[dbmodules]
    openldap_ldapconf = {
        db_library = kldap
        disable_last_success = true
        ldap_kdc_dn = "cn=krbadmin,dc=mit,dc=edu"
            # این شیء باید دسترسی خواندن روی ظرف قلمرو و زیردرخت‌های شناسه اصلی را داشته باشد
        ldap_kadmind_dn = "cn=krbadmin,dc=mit,dc=edu"
            # این شیء باید دسترسی خواندن و نوشتن روی ظرف قلمرو و زیردرخت‌های شناسه اصلی را داشته باشد
        ldap_service_password_file = /etc/kerberos/service.keyfile
        ldap_servers = ldaps://kerberos.mit.edu
        ldap_conns_per_server = 5
    }

فایل‌ها (FILES)

/var/lib/krb5kdc/kdc.conf

همچنین ببینید (SEE ALSO)

krb5.conf, krb5kdc, kadm5.acl

نویسندگان (AUTHORS)

مؤسسه فناوری ماساچوست (MIT)

کپی‌رایت (COPYRIGHT)

1985-2026, MIT