구현 안내서 › UNAB 호스트 설치 및 사용자 지정 › 시작하기 전에 › Kerberos 및 SSO 고려 사항

Kerberos 및 SSO 고려 사항

Kerberos SSO(Single Sign On) 서비스를 이용하여 한 번 인증하고 동일한 사용자 자격 증명으로 여러 끝점에 로그인하기 위해 Kerberos를 사용하는 끝점에 UNAB를 설치 및 등록할 수 있습니다. 아직 구성되지 않았으면 Kerberos를 사용하는 네트워크 서비스 및 응용 프로그램을 설치 및 구성하여 끝점에서 SSO 기능을 활성화합니다.

구성은 시스템마다 차이가 있으므로 끝점에서 Kerberos와 SSO를 사용하기 전에 다음을 수행할 것을 강력히 권장합니다.

• 시스템 man 페이지와 SSO에서 사용할 예정인 네이티브 응용 프로그램 서비스 바이너리(특히 아래 항목)의 특정 옵션에 대해 읽으십시오.
  • sshd(1M)
  • telnetd
  • in.telnetd
  • inetd
  • pam.conf
  • inetd.sec
• Kerberos를 지원하는 네트워크 응용 프로그램 버전의 PATH 변수를 확인하십시오. 예를 들어, 대부분의 Linux 시스템에서 Kerberos 도구는 /usr/Kerberos 디렉터리에 있습니다.
• 다음과 같은 Kerberos를 지원하는 응용 프로그램이 아래와 같이 구성되었는지 확인하십시오.
  • SSH - 자격 증명 위임 지원, 예를 들어, GSSAPIDelegateCredentials 토큰을 yes로 설정
  • SSHD - GSSAPIAuthentication 토큰 지원 및 사용
  • Telnet - Solaris에서, PAM 스택이 구성되고 Kerberos 구성 및 keytab 파일 사용 가능. keytab 파일을 사용할 수 있게 하려면 심볼 링크 또는 환경 변수 KRB5_CONFIG 및 KRB5_KTNAME을 만드십시오.
  • rlogin - Kerberos를 지원하는 응용 프로그램의 버전을 설치

참고: 시스템에 고유한 Kerberos 및 SSO 구성에 대한 정보는 시스템 설명서를 참조하십시오.

예: Solaris에서 Kerberos 구성

다음 예는 Solaris에서 Kerberos를 구성하기 위해 필요한 구성을 설명합니다. 이 예에서는 Kerberos를 활성화하기 위해 Solaris 패키지를 설치 및 구성합니다.

중요! Kerberos에 사용하는 시스템을 구성하기 위해 추가 패키지를 설치 및 구성해야 할 수 있습니다.

• 강력한 암호화를 사용하기 위해 SUNWcry 패키지를 설치합니다.
• Solaris 10에서 SSH는 GSSAPIDelegateCredentials를 지원하지 않습니다.
• rsh, rlogin, telnet 서비스를 사용하기 위해 svc:/network/shell:kshell, svc:/network/login:klogin, svc:/network/telnet:default를 활성화합니다.
• Kerberos 인증을 처리하기 위해 /etc/pam.conf 파일을 수정합니다.

다음은 rlogin, rsh, telnet에 대해 Kerberos 인증을 활성화하는 추가된 섹션을 나타내는 /etc/pam.conf 파일의 코드 조각입니다.

# Kerberized rlogin service
#
krlogin	auth required		pam_unix_cred.so.1
krlogin	auth required		pam_krb5.so.1
#
# rsh service (explicit because of pam_rhost_auth, 
# and pam_unix_auth for meaningful pam_setcred) 
#
rsh	auth sufficient		pam_rhosts_auth.so.1
rsh	auth required		pam_unix_cred.so.1
#
# Kerberized rsh service
#
krsh	auth required		pam_unix_cred.so.1
krsh	auth required		pam_krb5.so.1
#
# Kerberized telnet service
#
ktelnet	auth required		pam_unix_cred.so.1
ktelnet	auth required		pam_krb5.so.1