1.7. 为 Apache HTTP web 服务器配置 Kerberos 验证

流程

1. 通过创建服务主体来启用对 HTTP/<SERVER_NAME>@realm 主体的keytab文件的访问：

   # ipa service-add HTTP/<SERVER_NAME>

2. 检索存储在/etc/gssproxy/http.keytab文件中的主体的keytab：

   # ipa-getkeytab -s $(awk '/^server =/ {print $3}' /etc/ipa/default.conf) -k /etc/gssproxy/http.keytab -p HTTP/$(hostname -f)

   此步骤将权限设置为 400，因此只有 root 用户有权访问 keytab 文件。apache 用户无法访问。

3. 使用以下内容创建 /etc/gssproxy/80-httpd.conf 文件：

   [service/HTTP]
     mechs = krb5
     cred_store = keytab:/etc/gssproxy/http.keytab
     cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
     euid = apache

4. 重启并启用 gssproxy 服务：

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

流程

1. 配置 mod_auth_gssapi模块来保护 /var/www/html/private/目录：

   <Location /var/www/html/private>
     AuthType GSSAPI
     AuthName "GSSAPI Login"
     Require valid-user
   </Location>

2. 创建系统单元配置置入文件：

   # systemctl edit httpd.service

3. 在系统置入文件中添加以下参数：

   [Service]
   Environment=GSS_USE_PROXY=1

4. 重新载入systemd配置：

   # systemctl daemon-reload

5. 重启httpd服务：

   # systemctl restart httpd.service

验证

1. 获取Kerberos ticket：

   # kinit

2. 在浏览器中打开到受保护目录的URL。