1.7. Configuration de l'authentification Kerberos pour le serveur web Apache HTTP

Procédure

1. Autoriser l'accès au fichier keytab du principal HTTP/<SERVER_NAME>@realm en créant le principal de service :

   # ipa service-add HTTP/<SERVER_NAME>

2. Récupérer le site keytab pour le mandant stocké dans le fichier /etc/gssproxy/http.keytab:

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   Cette étape définit les autorisations à 400, de sorte que seul l'utilisateur root a accès au fichier keytab. L'utilisateur apache n'y a pas accès.

3. Créez le fichier /etc/gssproxy/80-httpd.conf avec le contenu suivant :

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

4. Redémarrez et activez le service gssproxy:

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

Procédure

1. Configurer le module mod_auth_gssapi pour protéger le répertoire /var/www/html/private/:

   <Location /var/www/html/private>
     AuthType GSSAPI
     AuthName "GSSAPI Login"
     Require valid-user
   </Location>

2. Créez le fichier /etc/systemd/system/httpd.service avec le contenu suivant :

   .include /lib/systemd/system/httpd.service
   [Service]
   Environment=GSS_USE_PROXY=1

3. Recharger la configuration de systemd:

   # systemctl daemon-reload

4. Redémarrez le service httpd:

   # systemctl restart httpd.service

Verification steps

1. Obtenir un ticket Kerberos :

   # kinit

2. Ouvrez l'URL du répertoire protégé dans un navigateur.