Capítulo 79. Usando montagem automática na IdM

Procedimento

1. Se algum de seus clientes NFS suportar apenas criptografia fraca, como os clientes do Red Hat Enterprise Linux 5:

   1. Atualizar a configuração do servidor IdM Kerberos para permitir o fraco tipo de criptografia des-cbc-crc:

      $ ldapmodify -x -D "cn=directory manager" -w password -h ipaserver.example.com -p 389
      
      dn: cn=REALM_NAME,cn=kerberos,dc=example,dc=com
      changetype: modify
      add: krbSupportedEncSaltTypes
      krbSupportedEncSaltTypes: des-cbc-crc:normal
      -
      add: krbSupportedEncSaltTypes
      krbSupportedEncSaltTypes: des-cbc-crc:special
      -
      add: krbDefaultEncSaltTypes
      krbDefaultEncSaltTypes: des-cbc-crc:special

   2. No servidor NFS, adicione a seguinte entrada ao arquivo /etc/krb5.conf do servidor NFS permitir um fraco suporte a criptografia:

      allow_weak_crypto = verdadeiro

2. Obter um bilhete Kerberos:

   [root@nfs-server ~]# kinit admin

3. Se a máquina host NFS não tiver sido adicionada como cliente ao domínio IdM, crie a entrada host. Veja Adicionando entradas de host IdM da IdM CLI.

4. Criar a entrada de serviço NFS:

   [root@nfs-server ~]# ipa service-add nfs/nfs-server.example.com

5. Recupere uma tabela de chaves de serviço NFS para o servidor NFS usando o seguinte comando ipa-getkeytab que salva as chaves no arquivo /etc/krb5.keytab:

   [root@nfs-server ~]# ipa-getkeytab -s ipaserver.example.com -p nfs/nfs-server.example.com -k /etc/krb5.keytab

   Se algum de seus clientes NFS suportar apenas criptografia fraca, além disso, passe a opção -e des-cbc-crc para o comando para solicitar uma tabela de chaves criptografadas por DES.

6. Verificar se o serviço NFS foi configurado corretamente na IdM, com sua tabela de chaves, verificando a entrada do serviço:

   [root@nfs-server ~]# ipa service-show nfs/nfs-server.example.com
     Principal name: nfs/nfs-server.example.com@IDM.EXAMPLE.COM
     Principal alias: nfs/nfs-server.example.com@IDM.EXAMPLE.COM
     Keytab: True
     Managed by: nfs-server.example.com

7. Instale o nfs-utils pacote:

   [root@nfs-server ~]# yum instalar nfs-utils

8. Execute o utilitário ipa-client-automount para configurar as configurações do NFS:

   [root@nfs-server ~] ipa-client-automount
   Searching for IPA server...
   IPA server: DNS discovery
   Location: default
   Continue to configure the system with these values? [no]: yes
   Configured /etc/idmapd.conf
   Restarting sssd, waiting for it to become available.
   Started autofs

   Por padrão, este comando permite o NFS seguro e define o parâmetro Domain no arquivo /etc/idmapd.conf para o domínio DNS do IdM. Se você usar um domínio diferente, especifique-o usando o --idmap-domain domain_name parâmetro.

9. Edite o arquivo /etc/exports e adicione ações com a configuração de segurança krb5p Kerberos:

   /export  *(rw,sec=krb5:krb5i:krb5p)
   /home  *(rw,sec=krb5:krb5i:krb5p)

   Este exemplo compartilha os diretórios /export e /home em modo de leitura-escrita com a autenticação Kerberos habilitada.

10. Reinicie e ative o nfs-server:

    [root@nfs-server ~]# systemctl restart nfs-server
    [root@nfs-server ~]# systemctl enable nfs-server

11. Reexportar os diretórios compartilhados:

    [root@nfs-server ~]# exporttfs -rav

12. Opcionalmente, configure o servidor NFS como um cliente NFS. Ver Seção 79.2, “Estabelecimento de um cliente NFS Kerberos”.