====== Kerberos Authentifizierung ======

User Authentifizierung an ADS/Kerberos \\
Beispiel umgesetzt auf Debian Squeeze und w2003 DC.

===== Systemvoraussetzungen =====

Apache Version 2.2.16 / KDC (Windows DC)

entsprechende Pakete nachinstallieren:
<code># apt-get install libapache2-mod-auth-kerb krb5-clients krb5-user</code>

===== Konfiguration =====


==== Kerberos ====

Keberos Client anpassen, /etc/krb5.conf
nach Anleitung http://support.microsoft.com/?scid=kb%3Ben-us%3B555092&x=10&y=15
------------------------------------------------------------------------------------
<code>[libdefaults]
    default_realm = <DOMAINNAME>
    allow_weak_crypto = yes
[realms]
<DOMAINNAME> = {
     admin_server = dc1.<DOMAINNAME>
     admin_server = dc2.<DOMAINNAME>
     kdc = dc1.<DOMAINNAME>
     kdc = dc2.<DOMAINNAME>
}

[domain_realm]
    servernameomd.<DOMAINNAME> = <DOMAINNAME></code>

Kerberos Clientverbindung testen:
<code># kinit username 
# Password for username@DOMAIN.LOCAL: xxxxxxxx</code>
Ticketcache anzeigen lassen:
<code># klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: username@DOMAIN.LOCAL

Valid starting     Expires            Service principal
05/03/07 10:11:16  05/03/07 20:11:16  krbtgt/DOMAIN.LOCAL@DOMAIN.LOCAL

Kerberos 4 ticket cache: /tmp/tkt0
klist: You have no tickets cached</code>

Ticketcache löschen:
<code># kdestroy</code>







==== Key für Auth. auf KDC erstellen ====

Serviceuser im AD erstellen (hier krb5nagios)

Account Options:  
  * User cannot change password
  * Passwort never expires
  * User logon name: HTTP/<servernameomd>.<DOMAINNAME>

Usermapping auf Servername mittels SPN auf Windows DC einrichten:
(setspn.exe muss über Supportools installiert sein)
<code>
C:\>setspn -a HTTP/<servernameomd>.<DOMAINNAME> <serviceaccountname>
C:\>setspn -a HTTP/<servernameomd> <serviceaccountname>
</code>
Kontrolle ob Mapping erfolgte:
<code>
C:\>setspn -l <serviceaccountname>
</code>
Sollte folgende Ausgabe erzeugen:
<code>
Registered ServicePrincipalNames for CN=<servernameomd>,OU=Service,OU=Benutzer,OU=<Standort>,OU=BS,DC=domain,DC=local:
    HTTP/<servernameomd>
    HTTP/<servernameomd>.<DOMAINNAME>
</code>








==== Apache ====


Kerberos Auth in Vhost

<code>/etc/apache2/conf.d/nagios2.conf
<Directory "/usr/local/nagios/sbin">
    Options ExecCGI
    AllowOverride None
    Order allow,deny
    Allow from all
    AuthType Kerberos
    KrbAuthRealms DOMAIN.LOCAL
    KrbServiceName HTTP
    Krb5Keytab /etc/apache2/http_nagios.krb5keytab
    KrbMethodNegotiate on
    KrbMethodK5Passwd off
    Require valid-user #oder entsp. Usernamen z.B. username@DOMAIN.LOCAL
</Directory>
</code>

Rewrite Rule, damit FQDN Eingabe im Browser nicht notwendig ist

<code>
RewriteEngine On
RewriteCond %{HTTP_HOST} ^HOSTNAME$ [NC]
RewriteRule ^(.*)$ http://HOSTNAME.DOMAIN.LOCAL$1 [R=301,L]
</code>
 --- //[[maeces@nagios-wiki.de|maeces]] 2009/12/19 13:28//

Apache neustarten:

<code>/etc/init.d/apache2 restart</code>







==== Browseranpassungen ====

   - Internetexplorer

Extras --> Internetoptionen --> Reiter "Erweitert"

Die integrierte Windows-Authentifizierung muß aktiviert sein.


   - Firefox ab 1.x

in die Adresszeile "about:config" eingeben.

In das Filter-Feld den Ausdruck 
network.negotiate-auth.trusted-uris
eingeben.

auf Feld doppelklicken und den hostnamen (FQDN) eingeben, z.B. 
nagios.domain.local

Firefox neu starten !

<del>Beim Aufruf im Browser bitte immer den VOLLEN FQDN angeben, ansonsten kann dies nicht richtig auf das Keyfile gemapt werden..</del>

//Zwingender FQDN Aufruf im Browser wird jetzt durch Rewrite Rule abgefangen//
 --- //[[maeces@nagios-wiki.de|maeces]] 2009/12/19 13:28//



==== Perfparse ====

Da die Benutzernamen durch den Domainenzusatz etwas länger werden muß evtl. das Feld user_name in
der tabelle perfdata_users angepasst werden

<code># ALTER TABLE perdata_users MODIFY user_name varchar(100) NOT NULL;</code> 





==== NagiosQL ====

In NagiosQL 2.x fehlt beim match auf den Usernamen das @. Daher kommt es beim Speichern zu einer Fehlermeldung.
Um das "@" zuzulassen, muß folgendes eingetragen werden:

in der NagiosQL Tabelle "tbl_language" in der Cat: "formchecks" keyword: "fill_specials":
<code> alt: [^a-zA-Z0-9_-]
 neu: [^@.a-zA-Z0-9_-]
</code>
Das natürlich für die Sprachen, die verwendet werden (default english und deutsch)

Mittels SQL Statement:
<code>
UPDATE `db_nagiosql_v2`.`tbl_language` SET `lang_de` = '[^@.a-zA-Z0-9_-]',
`lang_en` = '[^@.a-zA-Z0-9_-]' WHERE `tbl_language`.`id` =281 LIMIT 1 ;
</code>


 --- //[[vicodas@nagios-wiki.de|vicodas]] 2008/01/31 13:56//