LAMP服务器Kerberosconfiguration来对dmz中的只读Windows KDC进行身份validation
背景: 我们有许多通过VPN连接的ADnetworking(域),并build立了AD信任关系。 我们有一个外部托pipe的Web服务器,并为可信networking内的任何用户configuration了无缝validation 。 这种方法可行,但是由于我们IT部门没有pipe理的外部networking服务器的VPN的存在被networking团队认为是太大的安全风险。 我没有pipe理员访问内部networking,但在Web服务器上有完整的pipe理员访问权限。 想要: 通过在DMZ中使用只读DC来处理所有身份validation请求,在没有VPN的情况下build立相同的无缝身份validation。 细节: 我们有许多互相信任的AD域,并通过VPN隧道连接。 我们在连接到主ADnetworking的DMZ中只有一个DC 外部LAMP Web服务器 – 我们正在使用一个实例来testing新的configuration 完成的任务: 将DMZ DC添加到主机文件 更新了krb5.conf文件,并使用DMZ DC关联了一个领域和域(domain1) 在命令行上用kinit(工作) 更新了krb5.conf文件,使其他领域和域领域映射与指向DMZ DC的所有域 在命令行上与来自其中一个附加领域的用户进行了身份validation,失败了。 当前configuration示例 / etc / hosts / :(为了保密,我用x和真实的域名replace了实际的IP) xxx.xxx.xxx.xxx dc01.domain1.com, dc01.domain2.com, dc01.domain3.com, dc01.domain4.com 的/etc/krb5.conf: [libdefaults] default_realm = REALM1.COM dns_lookup_realm = true dns_lookup_kdc = true ticket_lifetime = 24h renew_lifetime = 7d forwardable = […]