SshAvecAfs - Historique des versions

Ymass : /* Sur la machine à kerbériser */

2015-03-19T13:59:54Z

Sur la machine à kerbériser

← Version précédente		Version du 19 mars 2015 à 13:59
Ligne 96 :		Ligne 96 :
	# scp www.lama.univ-savoie.fr:/tmp/d45.keytab /etc/krb5.keytab		# scp www.lama.univ-savoie.fr:/tmp/d45.keytab /etc/krb5.keytab
	# chmod 600 /etc/krb5.keytab		# chmod 600 /etc/krb5.keytab

			'''Note''' : pour tester, assurez-vous de renouveler votre ticket Kerberos sur votre machine client (il doit être plus récent que les modifications qui viennent d'être effectuées sur le serveur SSH).

Ymass : /* Sur le client */

2015-03-19T13:19:19Z

Sur le client

← Version précédente		Version du 19 mars 2015 à 13:19
Ligne 51 :		Ligne 51 :
	ssh login@lama.univ-savoie.fr		ssh login@lama.univ-savoie.fr

	RAPPEL: il faut que votre mot de passe soit ~~transférer~~ du codage unix dans le codage kerberos, pour cela rien de plus simple:		RAPPEL: il faut que votre mot de passe soit transféré du codage unix dans le codage kerberos, pour cela rien de plus simple:
	une connexion sur le serveur (par ssh ou en local) en tapant le mot de passe le transfert automatiquement.		une connexion sur le serveur (par ssh ou en local) en tapant le mot de passe le transfert automatiquement.

Pmeun le 5 décembre 2012 à 18:00

2012-12-05T18:00:38Z

← Version précédente		Version du 5 décembre 2012 à 18:00
Ligne 4 :		Ligne 4 :
	On peut toujours se connecter avec mot de passe.		On peut toujours se connecter avec mot de passe.

	À la place des clefs ssh, on utilise des "tickets kerberos". Voici les instructions (pour linux, la même		À la place des clefs ssh, on utilise des "tickets kerberos". Voici les instructions (pour linux et mac os, la même
	chose doit être possible sous ~~OS X ou~~ Windows).		chose doit être possible sous Windows).

			Sous mac os, au moins jusqu'à la version 10.6, il faut commencer par installer la version ssh fournie par macports, celle d'apple n'étant pas compatible avec GSSAPI (même si l'option de configuration existe).
⚫	Malheureusement, l'utilisation de ticket kerberos n'est pas activé par défaut. Dans /etc/ssh/ssh_config,

		⚫	Malheureusement, sous linux comme sous mac os, l'utilisation de ticket kerberos n'est pas activé par défaut. Dans /etc/ssh/ssh_config,
	il faut ajouter :		il faut ajouter :
	Host *		Host *

10.7.244.107 : /* Sur le client */

2012-07-24T21:19:18Z

Sur le client

← Version précédente		Version du 24 juillet 2012 à 21:19
Ligne 13 :		Ligne 13 :
	GSSAPIAuthentication yes		GSSAPIAuthentication yes
	GSSAPIDelegateCredentials yes		GSSAPIDelegateCredentials yes

			De plus, il faut installer kerberos avec

			apt-get install heimdal-clients

	Dans /etc/krb5.conf, vérifier que le royaume est bien connu (cela évite de donner		Dans /etc/krb5.conf, vérifier que le royaume est bien connu (cela évite de donner

10.7.244.107 : /* Sur le client */

2012-07-24T21:16:49Z

Sur le client

← Version précédente		Version du 24 juillet 2012 à 21:16
Ligne 15 :		Ligne 15 :

	Dans /etc/krb5.conf, vérifier que le royaume est bien connu (cela évite de donner		Dans /etc/krb5.conf, vérifier que le royaume est bien connu (cela évite de donner
	le royaume à chaque fois que l'on se connecte) :		le royaume à chaque fois que l'on se connecte, pour info le "royaume" c'est les machines
			du lama qui utilisent des tickets kerberos, en gros) :
	[libdefaults]		[libdefaults]
	default_realm = LAMA.UNIV-SAVOIE.FR		default_realm = LAMA.UNIV-SAVOIE.FR
Ligne 35 :		Ligne 36 :
	kinit login_sur_lama		kinit login_sur_lama

	On a alors un ticket kerberos. On peut vérifier que le ticket est encore valable		On donne son mot de passe (sur le serveur lama) et on a alors un ticket kerberos. On peut vérifier que le ticket est encore valable
	avec		avec
	klist		klist
Ligne 43 :		Ligne 44 :
	ou (toujours si le login n'est pas le même)		ou (toujours si le login n'est pas le même)
	ssh login@lama.univ-savoie.fr		ssh login@lama.univ-savoie.fr

			RAPPEL: il faut que votre mot de passe soit transférer du codage unix dans le codage kerberos, pour cela rien de plus simple:
			une connexion sur le serveur (par ssh ou en local) en tapant le mot de passe le transfert automatiquement.

	== Pour chaque serveur SSH ==		== Pour chaque serveur SSH ==

10.7.244.107 : /* Sur le client */

2012-07-24T20:36:49Z

Sur le client

← Version précédente		Version du 24 juillet 2012 à 20:36
Ligne 39 :		Ligne 39 :
	klist		klist

	Ensuite, tous les ssh marcheront sans mot de passe avec:		Ensuite, tous les ssh sur le serveur marcheront sans mot de passe avec:
	ssh lama.univ-savoie.fr		ssh lama.univ-savoie.fr
	ou (toujours si le login n'est pas le même)		ou (toujours si le login n'est pas le même)

10.7.244.107 : /* Sur le client */

2012-07-24T20:36:21Z

Sur le client

← Version précédente		Version du 24 juillet 2012 à 20:36
Ligne 1 :		Ligne 1 :
	== Sur le client ==		== Sur le client ==

			Avec kerberos, on ne peut plus utiliser des clef RSA/SSH pour se connecter sans mot de passe.
	Dans /etc/ssh/ssh_config, ajouter :
			On peut toujours se connecter avec mot de passe.

			À la place des clefs ssh, on utilise des "tickets kerberos". Voici les instructions (pour linux, la même
			chose doit être possible sous OS X ou Windows).

			Malheureusement, l'utilisation de ticket kerberos n'est pas activé par défaut. Dans /etc/ssh/ssh_config,
			il faut ajouter :
	Host *		Host *
	...		...
Ligne 7 :		Ligne 14 :
	GSSAPIDelegateCredentials yes		GSSAPIDelegateCredentials yes

	Dans /etc/krb5.conf, vérifier que le royaume est bien connu :		Dans /etc/krb5.conf, vérifier que le royaume est bien connu (cela évite de donner
			le royaume à chaque fois que l'on se connecte) :
	[libdefaults]		[libdefaults]
	default_realm = LAMA.UNIV-SAVOIE.FR		default_realm = LAMA.UNIV-SAVOIE.FR

10.7.244.107 : /* Sur le client */

2012-07-24T20:32:45Z

Sur le client

← Version précédente		Version du 24 juillet 2012 à 20:32
Ligne 17 :		Ligne 17 :
	}		}

			Vérifiez aussi dans le même fichier que "forwardable=yes"

	On peut alors faire du ssh sur lama.univ-savoie.fr presque sans mot de passe:		On peut alors faire du ssh sur lama.univ-savoie.fr presque sans mot de passe:
Ligne 26 :		Ligne 27 :
	kinit login_sur_lama		kinit login_sur_lama

			On a alors un ticket kerberos. On peut vérifier que le ticket est encore valable
⚫	Ensuite, tous les ssh marcheront sans mot de passe.
			avec

			klist

		⚫	Ensuite, tous les ssh marcheront sans mot de passe avec:
			ssh lama.univ-savoie.fr
			ou (toujours si le login n'est pas le même)
			ssh login@lama.univ-savoie.fr

	== Pour chaque serveur SSH ==		== Pour chaque serveur SSH ==

10.7.244.107 : /* Pour chaque serveur SSH */

2012-07-24T20:30:26Z

Pour chaque serveur SSH

← Version précédente		Version du 24 juillet 2012 à 20:30
Ligne 17 :		Ligne 17 :
	}		}


			On peut alors faire du ssh sur lama.univ-savoie.fr presque sans mot de passe:

			on fait
			kinit

			ou si votre login n'est pas le même sur votre client et sur le serveur du lama
			kinit login_sur_lama

			Ensuite, tous les ssh marcheront sans mot de passe.

	== Pour chaque serveur SSH ==		== Pour chaque serveur SSH ==

	On ~~veut~~ ~~pouvoir~~ se connecter sur ~~d45.lama.univ-savoie.fr~~ ~~depuis une autre machine, grâce~~ au ~~ticket Kerberos~~ que ~~l'on~~ ~~détient~~ ~~dans~~ le ~~royaume LAMA~~.~~UNIV-SAVOIE~~.FR.		On peut vouloir se connecter sur d'autres machines au labo que le serveur du LAMA ...
			grâce au ticket Kerberos que l'on détient dans le royaume LAMA.UNIV-SAVOIE.FR.

	On pourrait utiliser les clefs publiques/clefs privées de SSH, mais on a mieux avec Kerberos, car en plus le ticket AFS suit.		On pourrait utiliser les clefs publiques/clefs privées de SSH, mais on a mieux avec Kerberos, car en plus le ticket AFS suit.

			Il faut alors faire en plus, pour chaque machine, les choses suivantes :

	=== Sur le serveur du LAMA ===		=== Sur le serveur du LAMA ===

10.7.244.107 : /* Sur le client */

2012-07-24T20:26:53Z

Sur le client

← Version précédente		Version du 24 juillet 2012 à 20:26
Ligne 3 :		Ligne 3 :
	Dans /etc/ssh/ssh_config, ajouter :		Dans /etc/ssh/ssh_config, ajouter :
	Host *		Host *
			...
	GSSAPIAuthentication yes		GSSAPIAuthentication yes
	GSSAPIDelegateCredentials yes		GSSAPIDelegateCredentials yes
Ligne 12 :		Ligne 13 :
	[realms]		[realms]
	LAMA.UNIV-SAVOIE.FR = {		LAMA.UNIV-SAVOIE.FR = {
	kdc = ~~printers-~~lama~~.local~~.univ-savoie.fr		kdc = lama.univ-savoie.fr
	admin_server = ~~printers-~~lama~~.local~~.univ-savoie.fr		admin_server = lama.univ-savoie.fr
	}		}

SshAvecAfs - Historique des versions

Ymass : /* Sur la machine à kerbériser */

Ymass : /* Sur le client */

Pmeun le 5 décembre 2012 à 18:00

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Pour chaque serveur SSH */

10.7.244.107 : /* Sur le client */

Ymass : /* Sur la machine à kerbériser */

Ymass : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Sur le client */

10.7.244.107 : /* Pour chaque serveur SSH */

10.7.244.107 : /* Sur le client */