domain_realm应该指向域控制器或KDC，还是仅仅指向default_realm名称？

Question

在/etc/krb5.conf中，给定折叠default_realm，[realms].default_domain应该指向default_realm还是域控制器(DC)或密钥分发Denter (KDC)？

ada和亚行是&KDC。域成员是运行支持Ubuntu发行版的系统，通过Samba和Winbind作为域成员加入。

DC为通过ssh登录和访问驻留在Ubuntu服务器上的SMB共享提供身份验证。它用于控制域用户和组可以或可以在各种Ubuntu服务器上访问什么。

Ex 1:

[libdefaults]
ticket_lifetime = 24h
default_realm = DEPT.EXMAMPLE.COM
default_tgs_entypes = rc4-hmac des-cbc-md5
default_tkt__enctypes = rc4-hmac des-cbc-md5
permitted_enctypes = rc4-hmac des-cbc-md5
dns_lookup_realm = false
dns_lookup_kdc = true
dns_fallback = yes

[realms]
DEPT.EXMAMPLE.COM = {
  kdc = ada.dept.example.com
  kdc = adb.dept.example.com
  admin_server = ada.dept.example.com
  master_kdc = ada.dept.example.com
  default_domain = dept.example.com
}

[domain_realm]
.dept.example.com = DEPT.EXMAMPLE.COM
dept.example.com = DEPT.EXMAMPLE.COM

Ex2

[libdefaults]
ticket_lifetime = 24h
default_realm = DEPT.EXMAMPLE.COM
default_tgs_entypes = rc4-hmac des-cbc-md5
default_tkt__enctypes = rc4-hmac des-cbc-md5
permitted_enctypes = rc4-hmac des-cbc-md5
dns_lookup_realm = false
dns_lookup_kdc = true
dns_fallback = yes

[realms]
DEPT.EXMAMPLE.COM = {
  kdc = ada.dept.example.com
  kdc = adb.dept.example.com
  admin_server = ada.dept.example.com
  master_kdc = ada.dept.example.com
  default_domain = dept.example.com
}

[domain_realm]
.dept.example.com = ADA.DEPT.EXMAMPLE.COM
dept.example.com = ADA.DEPT.EXMAMPLE.COM

这两种配置似乎都可以在许多Ubuntu服务器上工作，但我不明白为什么，或者哪种配置是正确的。

Answer 1

您的ex1是正确的，ex2无效。

来自手册页：

王国 包含以Kerberos域名为键的子部分，描述在何处查找特定领域的Kerberos服务器，而其他特定领域的information. 域名_境界包含将子域和域名映射到Kerberos领域名称的关系。程序使用它来确定主机应该在哪个领域，考虑到其完全限定的域名。

以及有关DOMAIN_REALM部分的详细信息：

域名_境界部分为主机提供的服务提供了从主机名到Kerberos领域名称的转换。标签名可以是主机名，也可以是域名，其中域名的前缀为句点('.')性格。关系的值是该特定主机或域的Kerberos领域名称。主机名和域名应该是小写的。如果不应用翻译条目，则主机的领域被视为主机名的域部分

因此，它不能直接指向(K)DC，而是指向一个领域，并且比default_realm更具体一些。在您的简单设置中，根本不需要它，因为如果没有应用翻译条目，那么.dept.example.com = DEPT.EXMAMPLE.COM就是所发生的事情。

我认为dept.example.com = DEPT.EXMAMPLE.COM可以发挥作用，但我怀疑它是否需要，因为您已经指定了全局default_realm，如果找不到领域EXMAMPLE.COM的定义，就应该使用它。