Введение

При установке службы Kerberos в конфигурационном файле этой службы /etc/krb5.conf указываются настройки записи журналов в файлы, находящиеся в каталоге /var/log. Пример записей в конфигурационном файле:

Однако, так как каталог /var/log доступен для записи только привилегированному пользователю, запись в эти файлы производиться не будет.

Включение записи в отдельные файлы

Для того, чтобы включить запись журналов Kerberos следует выполнить следующие действия:

1. Выполнить команду:

   Command
   sudo systemctl edit krb5-admin-server.service krb5-kdc.service

   
   

2. В открывшемся текстовом редакторе ввести текст:

   Блок кода
   [Service] ReadWriteDirectories= ReadWriteDirectories=-/var/tmp /tmp /var/lib/krb5kdc -/var/run /run /var/log

   
   

3. Сохранить изменения (при использовании редактора nano - Ctrl+X, Y, Enter;

4. В повторно открывшемся текстовом редакторе повторить ввод текста и сохранение изменений;

5. Выполнить перезапуск системных служб:

   Command
   sudo ipactl restart

   
   

Сценарий:

sudo mkdir -p /etc/systemd/system/{krb5-admin-server.service.d,krb5-kdc.service.d}
echo -e "[Service]\nReadWriteDirectories=\nReadWriteDirectories=-/var/tmp /tmp /var/lib/krb5kdc -/var/run /run /var/log" | sudo tee /etc/systemd/system/krb5-admin-server.service.d/override.conf
echo -e "[Service]\nReadWriteDirectories=\nReadWriteDirectories=-/var/tmp /tmp /var/lib/krb5kdc -/var/run /run /var/log" | sudo tee /etc/systemd/system/krb5-kdc.service.d/override.conf
sudo systemctl daemon-reload
sudo ipactl restart

Включение записи в системный журнал

Запись можно перенаправить в системный журнал /var/log/syslog. Для этого:

1. Указать в конфигурационном файле /etc/krb5.conf в секции [logging] приемником сообщений SYSLOG:DEBUG:DAEMON:

   Command
   [logging] default = FILE:/var/log/krb5libs.log kdc = SYSLOG:DEBUG:DAEMON admin_server = SYSLOG:DEBUG:DAEMON

   
   

2. Перезапустить службы чтобы изменения активировались.