Получение и добавление файла keytab

Keytab-файлы используются для аутентификации в системах, использующих механизм Kerberos. Для получения keytab-файла на контроллере домена и добавления его на узел серверной части Перемещаемых профилей необходимо выполнить ряд действий.

Действия на контроллере домена (например, FreeIPA):

  • получить доступ к контроллеру домена в режиме интерфейса командной строки;
  • получить kerberos-ticket для пользователя с полномочиями администратора домена при помощи команды:
sudo kinit admin
  • выполнить команду для добавления узла:
sudo ipa host-add --force --ip-address=192.0.2.30 migrator.termidesk.local

где:

--force - флаг для принудительного создания;

--ip-address - задание IP-адреса целевого узла;

192.0.2.30 - IP-адрес сервера, где установлен Termidesk,

migrator.termidesk.local - мнимый FQDN узла в текущем домене (в примере termidesk.local);

Здесь и далее примеры IP-адресов приведены в соответствии с RFC 5737. Указанные IP-адреса должны быть заменены на актуальные, используемые согласно схеме адресации, принятой в инфраструктуре организации.

Мнимый FQDN означает, что он не обязательно должен быть привязан к действительно существующему узлу.

  • выполнить команду добавления службы для нового сервисного аккаунта:
sudo ipa service-add HTTP/migrator.termidesk.local
  • создать файл migrator.keytab для сервисного аккаунта:
sudo ipa-getkeytab -s freeipa.termidesk.local -p HTTP/migrator.termidesk.local -k /home/user/migrator.keytab

где:

-s freeipa.termidesk.local - задание FQDN сервера-контроллера домена FreeIPA;

-p HTTP/migrator.termidesk.local - указание ранее созданного субъекта-службы;

-k /home/user/migrator.keytab - сохранение в файл migrator.keytab;

Неважно, для какого узла создан keytab, необходимо само его наличие.

  • передать полученный файл migrator.keytab  на узел серверной части Перемещаемых профилей, например, воспользовавшись командой:
sudo scp migrator.keytab localuser@192.0.2.30:migrator.keytab

где:

localuser   - имя пользователя целевого узла;

192.0.2.30 - IP-адрес узла, где установлена серверная часть Перемещаемых профилей.

После передачи файла на узле серверной части Перемещаемых профилей необходимо выполнить следующее:

  • переместить файл migrator.keytab в каталог /etc/termidesk/migrator:
sudo mv /home/user/migrator.keytab /etc/termidesk/migrator/
  • сделать владельцем этого файла пользователя root:
sudo chown root:root /etc/termidesk/migrator/migrator.keytab