IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

RedHat / CentOS / Fedora Discussion :

[Kerberos][Openldap] Les services Kerberos ne démarrent pas


Sujet :

RedHat / CentOS / Fedora

  1. #1
    Nouveau membre du Club
    Homme Profil pro
    Consultant informatique
    Inscrit en
    mai 2011
    Messages
    27
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Consultant informatique

    Informations forums :
    Inscription : mai 2011
    Messages : 27
    Points : 32
    Points
    32
    Par défaut [Kerberos][Openldap] Les services Kerberos ne démarrent pas
    Bonjour,

    J'ai un souci avec le démarrage des services Kerberos sous RedHat 8, je fourni le contexte "il y a un serveur qui fait office de Kerberos pour l'authentification et un autre qui fait serveur OpenLDAP pour l'annuaire. Les 2 serveurs ont la même version OS.

    Voici les erreurs qui sont générées dans les logs côté serveur Kerberos :

    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    18
    19
    20
    21
    22
    23
    24
    25
    26
    27
    28
    29
    -- Le processus maître de la session est 27085.
    mai 25 09:37:06 srv-kerberos.toto.tutu systemd[1]: Starting Kerberos 5 KDC...
    -- Subject: L'unité (unit) krb5kdc.service a commencé à démarrer
    -- Defined-By: systemd
    -- Support: https://access.redhat.com/support
    -- 
    -- L'unité (unit) krb5kdc.service a commencé à démarrer.
    mai 25 09:37:06 srv-kerberos.toto.tutu krb5kdc[27124]: krb5kdc: cannot initialize realm TOTO.TUTU - see log file for details
    mai 25 09:37:06 srv-kerberos.toto.tutu systemd[1]: krb5kdc.service: Control process exited, code=exited status=1
    mai 25 09:37:06 srv-kerberos.toto.tutu systemd[1]: krb5kdc.service: Failed with result 'exit-code'.
    mai 25 09:37:06 srv-kerberos.toto.tutu systemd[1]: Failed to start Kerberos 5 KDC.
    -- Subject: L'unité (unit) krb5kdc.service a échoué
    -- Defined-By: systemd
    -- Support: https://access.redhat.com/support
    -- 
    -- L'unité (unit) krb5kdc.service a échoué, avec le résultat RESULT.
    mai 25 09:38:40 srv-kerberos.toto.tutu systemd[1]: Starting Kerberos 5 Password-changing and Administration...
    -- Subject: L'unité (unit) kadmin.service a commencé à démarrer
    -- Defined-By: systemd
    -- Support: https://access.redhat.com/support
    -- 
    -- L'unité (unit) kadmin.service a commencé à démarrer.
    mai 25 09:38:40 srv-kerberos.toto.tutu kadmind[27131]: kadmind: Unable to read Realm: Unable to access Kerberos database while initializing, aborting
    mai 25 09:38:40 srv-kerberos.toto.tutu systemd[1]: kadmin.service: Control process exited, code=exited status=1
    mai 25 09:38:40 srv-kerberos.toto.tutu systemd[1]: kadmin.service: Failed with result 'exit-code'.
    mai 25 09:38:40 srv-kerberos.toto.tutu systemd[1]: Failed to start Kerberos 5 Password-changing and Administration.
    -- Subject: L'unité (unit) kadmin.service a échoué
    -- Defined-By: systemd
    -- Support: https://access.redhat.com/support
    J'ai effectué un ldapsearch depuis le serveur Kerberos et ça marche.

    Mon problème viendrait peut-être de la configuration du fichier krb5.conf, mais pour moi elle semble correct

    Fichier crypto-policies
    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    [libdefaults]
    permitted_enctypes = aes256-cts-hmac-sha1-96 aes256-cts-hmac-sha384-192 camellia256-cts-cmac aes128-cts-hmac-sha1-96 aes128-cts-hmac-sha256-128 camellia128-cts-cmac
    Fichier krb5.conf
    Code : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    18
    19
    20
    21
    22
    23
    24
    25
    26
    27
    28
    29
    30
    31
    32
    33
    34
    35
    36
    37
    38
    39
    40
    41
    42
    43
    44
    45
    46
    47
    48
    # To opt out of the system crypto-policies configuration of krb5, remove the
    # symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
    includedir /etc/krb5.conf.d/
     
    [logging]
        default = FILE:/var/log/krb5libs.log
        kdc = FILE:/var/log/krb5kdc.log
        admin_server = FILE:/var/log/kadmind.log
     
    [libdefaults]
        dns_lookup_realm = false
        ticket_lifetime = 24h
        renew_lifetime = 7d
        forwardable = true
        rdns = false
        pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
        spake_preauth_groups = edwards25519
        default_realm = TOTO.TUTU
        default_ccache_name = KEYRING:persistent:%{uid}
     
    [realms]
    TOTO.TUTU = {
        kdc = srv-kerberos.toto.tutu
        admin_server = srv-kerberos.toto.tutu
        database_module = openldap_ldapconf
    }
     
    [domain_realm]
      .toto.tutu = TOTO.TUTU
      toto.tutu = TOTO.TUTU
     
    [dbdefaults]
      ldap_kerberos_container_dn = cn=krbContainer,dc=titi,dc=lol,dc=test,dc=bob
     
    [dbmodules]
      openldap_ldapconf = {
        db_library = kldap
        ldap_kdc_dn = "cn=admin,dc=titi,dc=lol,dc=test,dc=bob"
     
        # this object needs to have read rights on
        # the realm container, principal container and realm sub-trees
        ldap_kadmind_dn = "cn=admin,dc=titi,dc=lol,dc=test,dc=bob"
     
        # this object needs to have read and write rights on
        # the realm container, principal container and realm sub-trees
        ldap_service_password_file = /var/kerberos/krb5kdc/ldap.keyfile
        ldap_servers = ldap://srv-openldap.toto.tutu
      }
    Si quelqu'un peut m'aide pour ce problème, car c'est nouveau pour moi la pratique du Kerberos.
    Je précise que le 2 services Kerberos marchaient avant.

  2. #2
    Nouveau membre du Club
    Homme Profil pro
    Consultant informatique
    Inscrit en
    mai 2011
    Messages
    27
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Consultant informatique

    Informations forums :
    Inscription : mai 2011
    Messages : 27
    Points : 32
    Points
    32
    Par défaut Manque les objectclasses LDAP pour Kerberos
    Cela venait d'un problème de objectclasses LDAP qui a été supprimé pour Kerberos, il faillait les rajouter.

    J'ai pu remonter les services de Kerberos : krb5kdc.service et kadmin.service.

+ Répondre à la discussion
Cette discussion est résolue.

Discussions similaires

  1. (impossible d'exécuter cette commande car les services Java ne sont pas activés)
    Par sasaman dans le forum Plateformes (Java EE, Jakarta EE, Spring) et Serveurs
    Réponses: 0
    Dernier message: 07/04/2019, 10h00
  2. Réponses: 8
    Dernier message: 01/02/2013, 15h20
  3. [SQL SERVER 2K8] les services ne se lancent pas
    Par mayce dans le forum Administration
    Réponses: 7
    Dernier message: 11/02/2010, 14h49
  4. Windows Update impossible - services qui ne démarrent pas
    Par spartacul dans le forum Windows XP
    Réponses: 1
    Dernier message: 04/01/2010, 20h41
  5. [MySQL] Afficher les services qui n'ont pas de relation avec une famille
    Par yosraisi dans le forum PHP & Base de données
    Réponses: 2
    Dernier message: 19/06/2008, 11h11

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo