14.4.4. 为 IdM 服务检索 Kerberos 服务票据

先决条件

• 如果您正在使用的服务不是内部 IdM 服务，您已为其创建了相应的 IdM 服务 条目。请参阅 创建 IdM 服务条目及其 Kerberos keytab。
• 您有一个 Kerberos 票据授予票据(TGT)。

流程

• 使用带-S 选项的 kvno 命令来检索服务票据，并指定 IdM 服务的名称和管理它的主机的完全限定域名。

  [root@server ~]# kvno -S testservice client.example.com
  testservice/client.example.com@EXAMPLE.COM: kvno = 1

  注意

  如果您需要访问 IdM 服务以及当前的票据授予票据(TGT)没有所需的与之关联的 Kerberos 身份验证指标，请使用 kdestroy 命令清除当前的 Kerberos 凭证缓存，并检索新的 TGT：

  [root@server ~]# kdestroy

  例如，如果您最初通过使用密码的身份验证来获取了 TGT，并且您需要访问具有与之相关联的 pkinit身份验证指标的 IdM 服务，请销毁当前的凭证缓存，并使用智能卡重新进行身份验证。请参阅 Kerberos 身份验证指标。

验证

• 使用 klist 命令来验证服务票据是否在默认的 Kerberos 凭据缓存中。

  [root@server etc]# klist_
  Ticket cache: KCM:1000
  Default principal: admin@EXAMPLE.COM
  
  Valid starting       Expires              Service principal
  04/01/2020 12:52:42  04/02/2020 12:52:39  krbtgt/EXAMPLE.COM@EXAMPLE.COM
  04/01/2020 12:54:07 04/02/2020 12:52:39 testservice/client.example.com@EXAMPLE.COM