K5LOGIN(5) فایلهای پیکربندی K5LOGIN(5)

.k5login - فایل کنترل دسترسی (ACL) کربروس ۵ برای ورود و دسترسی به سامانه

فایل .k5login در دایرکتوری خانگی کاربر قرار گرفته و مشخص میکند کدام اصالتهای (principals) کربروس مجاز به دسترسی به حساب کاربری مورد نظر هستند. هر فردی که دارای بلیت‌های معتبر برای یک اصالت (principal) موجود در این فایل باشد، اجازه دسترسی به میزبان را با شناسه کاربری (UID) کاربری که فایل در دایرکتوری خانگی او قرار دارد خواهد داشت. یکی از کاربردهای رایج، قرار دادن یک فایل .k5login در دایرکتوری خانگی کاربر ریشه (root) است تا به مدیران سیستم امکان دسترسی راه دور به میزبان با دسترسی ریشه از طریق کربروس داده شود.

فرض کنید کاربر alice یک فایل .k5login در دایرکتوری خانگی خود دارد که تنها شامل خط زیر است:

bob@FOOBAR.ORG

این پیکربندی به bob اجازه می‌دهد تا با استفاده از برنامه‌های شبکه کربروس، مانند ssh(1)، و با استفاده از بلیت‌های کربروس bob، به حساب کاربری alice دسترسی یابد. در پیکربندی پیش‌فرض (که در آن k5login_authoritative در krb5.conf(5) روی true تنظیم شده باشد)، این فایل .k5login به alice اجازه دسترسی به حساب کاربری‌اش از طریق این برنامه‌های شبکه را نمی‌دهد، زیرا نام او در فایل قید نشده است! در صورت نبود فایل .k5login یا تنظیم بودن k5login_authoritative روی false، یک قاعده پیش‌فرض به اصالت alice در قلمرو (realm) پیش‌فرض ماشین اجازه دسترسی به حساب کاربری alice را خواهد داد.

حال فرض کنیم که alice یک مدیر سیستم است. آلیس و سایر مدیران سیستم اصالت‌های خود را در فایل .k5login مربوط به کاربر root روی هر میزبان قرار می‌دهند:

alice@BLEEP.COM
joeadmin/root@BLEEP.COM

این کار به هر دو مدیر سیستم اجازه می‌دهد با استفاده از بلیت‌های کربروس خود به جای وارد کردن رمز عبور root، به این میزبان‌ها وارد شوند. توجه داشته باشید از آنجا که bob بلیت‌های کربروس مربوط به اصالت خودش یعنی bob@FOOBAR.ORG را حفظ می‌کند، هیچ‌یک از امتیازاتی که نیازمند بلیت‌های alice است (مانند دسترسی ریشه به هر یک از میزبان‌های سایت یا قابلیت تغییر رمز عبور alice) را نخواهد داشت.

kerberos(1)

مؤسسه فناوری ماساچوست (MIT)

1985-2024, MIT

مه ۲۰۲۵ krb5