1.8. 为 Apache HTTP web 服务器配置 Kerberos 验证

流程

1. 通过创建服务主体来启用对 HTTP/<SERVER_NAME>@realm 主体的keytab文件的访问：

   # ipa service-add HTTP/<SERVER_NAME>

   Copy to Clipboard Toggle word wrap

2. 检索存储在/etc/gssproxy/http.keytab文件中的主体的keytab：

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   Copy to Clipboard Toggle word wrap

   此步骤将权限设置为 400，因此只有 root 用户有访问 keytab 文件的权限。apache 用户无法访问。

3. 使用以下内容创建 /etc/gssproxy/80-httpd.conf 文件：

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

   Copy to Clipboard Toggle word wrap

4. 重启并启用 gssproxy 服务：

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

   Copy to Clipboard Toggle word wrap

流程

1. 配置 mod_auth_gssapi模块来保护 /var/www/html/private/目录：

   <Location /var/www/html/private>
     AuthType GSSAPI
     AuthName "GSSAPI Login"
     Require valid-user
   </Location>

   Copy to Clipboard Toggle word wrap

2. 创建系统单元配置置入文件：

   # systemctl edit httpd.service

   Copy to Clipboard Toggle word wrap

3. 在系统置入文件中添加以下参数：

   [Service]
   Environment=GSS_USE_PROXY=1

   Copy to Clipboard Toggle word wrap

4. 重新载入 systemd 配置：

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

5. 重启 httpd 服务：

   # systemctl restart httpd.service

   Copy to Clipboard Toggle word wrap

验证

1. 获取 Kerberos 票据：

   # kinit

   Copy to Clipboard Toggle word wrap
2. 在浏览器中打开到受保护目录的URL。