9.6. 验证 Kerberos 配置

流程

1. 为 Active Directory（AD）用户请求一个 ticket（票据）：

   [root@ipaserver ~]# kinit user@AD.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

2. 为 IdM 域中的服务请求 ticket：

   [root@server ~]# kvno -S host server.idm.example.com

   Copy to Clipboard Toggle word wrap

   如果 AD 服务单被成功授予了，则会列出一个跨领域单据授予单（TGT），以及所有其他请求的单子。TGT 命名为 krbtgt/IPA.DOMAIN@AD.DOMAIN。

   [root@server ]# klist
   Ticket cache: KEYRING:persistent:0:krb_ccache_hRtox00
   Default principal: user@AD.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   03.05.2016 18:31:06  04.05.2016 04:31:01  host/server.idm.example.com@IDM.EXAMPLE.COM
   	renew until 04.05.2016 18:31:00
   03.05.2016 18:31:06 04.05.2016 04:31:01 krbtgt/IDM.EXAMPLE.COM@AD.EXAMPLE.COM
   	renew until 04.05.2016 18:31:00
   03.05.2016 18:31:01  04.05.2016 04:31:01  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
   	renew until 04.05.2016 18:31:00

   Copy to Clipboard Toggle word wrap

   localauth 插件将 Kerberos 主体映射到本地 SSSD 用户名。这允许 AD 用户使用 Kerberos 身份验证并访问 Linux 服务，这些服务直接支持 GSSAPI 身份验证。