1.8. Apache HTTP 웹 서버에 대한 Kerberos 인증 구성

프로세스

1. 서비스 주체를 생성하여 HTTP/<SERVER_NAME>@realm 주체의 keytab 파일에 대한 액세스를 활성화합니다.

   # ipa service-add HTTP/<SERVER_NAME>

   Copy to Clipboard Toggle word wrap

2. /etc/gssproxy/http.keytab 파일에 저장된 keytab 탭을 검색합니다.

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   Copy to Clipboard Toggle word wrap

   이 단계에서는 권한을 400으로 설정하면 root 사용자만 keytab 파일에 액세스할 수 있습니다. apache 사용자는 그렇지 않습니다.

3. 다음 콘텐츠를 사용하여 /etc/gssproxy/80-httpd.conf 파일을 만듭니다.

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

   Copy to Clipboard Toggle word wrap

4. gssproxy 서비스를 재시작하고 활성화합니다.

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

   Copy to Clipboard Toggle word wrap

프로세스

1. /var/www/html/private/ 디렉터리를 보호하도록 mod_auth_gssapi 모듈을 구성합니다.

   <Location /var/www/html/private>
     AuthType GSSAPI
     AuthName "GSSAPI Login"
     Require valid-user
   </Location>

   Copy to Clipboard Toggle word wrap

2. 시스템 단위 구성 드롭인 파일을 생성합니다.

   # systemctl edit httpd.service

   Copy to Clipboard Toggle word wrap

3. 시스템 드롭인 파일에 다음 매개변수를 추가합니다.

   [Service]
   Environment=GSS_USE_PROXY=1

   Copy to Clipboard Toggle word wrap

4. systemd 구성을 다시 로드합니다.

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

5. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd.service

   Copy to Clipboard Toggle word wrap

검증

1. Kerberos 티켓을 받습니다.

   # kinit

   Copy to Clipboard Toggle word wrap
2. 브라우저에서 보호된 디렉터리의 URL을 엽니다.