红帽全球峰会第 16 章 维护 IdM Kerberos keytab 文件
了解更多有关 Kerberos keytab 文件是什么，以及身份管理(IdM)如何使用它们来允许服务使用 Kerberos 安全地进行身份验证。
您可以使用这些信息来了解您应该保护这些敏感文件的原因，并对 IdM 服务之间的通信问题进行故障排除。
如需更多信息，请参阅以下主题：
16.1. Identity Management 如何使用 Kerberos keytab 文件
复制链接链接已复制到粘贴板!
Kerberos keytab 是包含 Kerberos 主体及其对应加密密钥的文件。主机、服务、用户和脚本可以使用 keytab 安全地对 Kerberos 密钥分发中心 (KDC) 进行身份验证，而无需人工交互。
IdM 服务器上的每个 IdM 服务都有存储在 Kerberos 数据库中的唯一 Kerberos 主体。例如，如果 IdM 服务器 east.idm.example.com 和 west.idm.example.com 提供 DNS 服务，IdM 会创建 2 个唯一 DNS Kerberos 主体来识别这些服务，它遵循命名规则 <service>/host.domain.com@REALM.COM：
-
DNS/east.idm.example.com@IDM.EXAMPLE.COM -
DNS/west.idm.example.com@IDM.EXAMPLE.COM
IdM 在服务器上为这些服务创建一个 keytab，以存储 Kerberos 密钥的本地副本，以及它们的密钥版本号(KVNO)。例如，默认的 keytab 文件 /etc/krb5.keytab 存储 host 主体，这表示计算机在 Kerberos 域中，用于登录身份验证。KDC 为它支持的不同加密算法生成加密密钥，如 aes256-cts-hmac-sha1-96 和 aes128-cts-hmac-sha1-96。
您可以使用 klist 命令显示 keytab 文件的内容：
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}