Installations- och tilläggsinformation för SEAM. Sun Microsystems, Inc. 901 San Antonio Rd. Palo Alto, CA USA

Transkript

1 Installations- och tilläggsinformation för SEAM Sun Microsystems, Inc. 901 San Antonio Rd. Palo Alto, CA USA Artikelnummer: Augusti 1999

2 Copyright 1999 Sun Microsystems, Inc. 901 San Antonio Road, Palo Alto, CA USA. Med ensamrätt. Copyright till delar av texten tillhör 1996 Massachusetts Institute of Technology. Med ensamrätt. Denna produkt och detta dokument skyddas av upphovsrättslagen och distribueras med en licens som reglerar användning, kopiering, distribution och dekompilering. Ingen del av produkten eller dokumentet får mångfaldigas på något sätt utan skriftligt tillstånd från Sun och Suns licenstagare. Program från övriga företag, t ex teckensnittsteknik, är skyddat av upphovsrätt och tillhandahålls på licens av Suns leverantörer. Delar av produkten kan härröra från Berkeley BSD-system, som tillhandahålls på licens av University of California. UNIX är ett registrerat varumärke i USA och övriga länder och tillhandhålls på licens med ensamrätt av X/Open Company, Ltd. Sun, Sun Microsystems, Sun-logotypen, SunStore, docs.sun.com, och Solaris är varumärken eller registrerade varumärken som tillhör Sun Microsystems, Inc i USA och andra länder. Alla SPARC-varumärken är varumärken eller registrerade varumärken som tillhandahålls och ägs av SPARC International, Inc. i USA och andra länder. Produkter med SPARC-varumärken bygger på en arkitektur som har utvecklats av Sun Microsystems, Inc. OPEN LOOK och det grafiska användargränssnittet från Sun TM är utvecklade av Sun Microsystems, Inc för användare och licenstagare. Sun erkänner betydelsen av Xerox forskning och utveckling av grafiska användargränssnitt för datorindustrin. Sun har en licens utan ensamrätt från Xerox för Xerox grafiska användargränssnitt, som också omfattar Suns licensinnehavare som använder OPEN LOOK-användargränssnittet och följer Suns skriftliga licensavtal. BEGRÄNSADE RÄTTIGHETER: Användning, kopiering eller offentliggörande som utförs av USA:s regering lyder under bestämmelserna i FAR (g)(2)(6/87) och FAR (6/87) eller DFAR (b)(6/95) och DFAR (a). DOKUMENTATIONEN TILLHANDAHÅLLS I BEFINTLIGT SKICK. SUN ERKÄNNER INGA UTTRYCKLIGA ELLER UNDERFÖRSTÅDDA VILLKOR, ÅTERGIVANDEN OCH GARANTIER, INKLUSIVE UNDERFÖRSTÅDDA GARANTIER OM SÄLJBARHET, LÄMPLIGHET FÖR ETT VISST ÄNDAMÅL ELLER ICKE-LAGSTRIDIGHET. DETTA GÄLLER I ALLA FALL DÅ DET INTE FINNS JURIDISKT BINDANDE SKÄL TILL MOTSATSEN. Copyright 1999 Sun Microsystems, Inc. 901 San Antonio Road, Palo Alto, Californie Etats-Unis. Tous droits réservés. Copyright 1996 des portions du logiciel par Massachusetts Institute of Technology. Tous droits réservés. Ce produit ou document est protégé par un copyright et distribué avec des licences qui en restreignent l utilisation, la copie, la distribution, et la décompilation. Aucune partie de ce produit ou document ne peut être reproduite sous aucune forme, par quelque moyen que ce soit, sans l autorisation préalable et écrite de Sun et de ses bailleurs de licence, s il y en a. Le logiciel détenu par des tiers, et qui comprend la technologie relative aux polices de caractères, est protégé par un copyright et licencié par des fournisseurs de Sun. Des parties de ce produit pourront être dérivées du système Berkeley BSD licenciés par l Université de Californie. UNIX est une marque déposée aux Etats-Unis et dans d autres pays et licenciée exclusivement par X/Open Company, Ltd. Sun, Sun Microsystems, le logo Sun, SunDocs, et Solaris sont des marques de fabrique ou des marques déposées, ou marques de service, de Sun Microsystems, Inc. aux Etats-Unis et dans d autres pays. Toutes les marques SPARC sont utilisées sous licence et sont des marques de fabrique ou des marques déposées de SPARC International, Inc. aux Etats-Unis et dans d autres pays. Les produits portant les marques SPARC sont basés sur une architecture développée par Sun Microsystems, Inc. L interface d utilisation graphique OPEN LOOK et Sun TM a été développée par Sun Microsystems, Inc. pour ses utilisateurs et licenciés. Sun reconnaît les efforts de pionniers de Xerox pour la recherche et le développement du concept des interfaces d utilisation visuelle ou graphique pour l industrie de l informatique. Sun détient une licence non exclusive de Xerox sur l interface d utilisation graphique Xerox, cette licence couvrant également les licenciés de Sun qui mettent en place l interface d utilisation graphique OPEN LOOK et qui en outre se conforment aux licences écrites de Sun. CETTE PUBLICATION EST FOURNIE EN L ETAT ET AUCUNE GARANTIE, EXPRESSE OU IMPLICITE, N EST ACCORDEE, Y COMPRIS DES GARANTIES CONCERNANT LA VALEUR MARCHANDE, L APTITUDE DE LA PUBLICATION A REPONDRE A UNE UTILISATION PARTICULIERE, OU LE FAIT QU ELLE NE SOIT PAS CONTREFAISANTE DE PRODUIT DE TIERS. CE DENI DE GARANTIE NE S APPLIQUERAIT PAS, DANS LA MESURE OU IL SERAIT TENU JURIDIQUEMENT NUL ET NON AVENU. Papperet kan återvinnas

3 Innehåll 1. Produktöversikt över SEAM 1 Introduktion 1 Innehåll i SEAM 1 Produktberoenden för SEAM 2 Status 2 Interoperabilitet för SEAM 2 SEAM och MIT 3 SEAM och NT 3 Kända fel 3 2. Installation av SEAM 9 Innehåll i SEAM-paketet 9 Klientpaket för SEAM 9 Paket för underordnande KDC:er 10 Paket för huvud-kdc 10 Korrigeringsfiler 10 Översikt över uppgifter för installation av SEAM 11 Installera programvara för SEAM 12 H Så kopierar du SEAM-avbildningen till ett lokalt filsystem 14 H Så monterar du ett skrivbart filsystem på CD-skivan för SEAS 15 Innehåll iii

4 H Så förkonfigurerar du SEAM-installationer 16 H Så installerar du programvara för SEAM med hjälp av det grafiska användargränssnittet 21 H Så installerar du SEAM-klienter utan det grafiska användargränssnittet 23 H Så korrigerar du ett system som inte har konfigurerats 23 Avinstallera SEAM 24 Tillägg till Solaris Management Console 24 iv Installations- och tilläggsinformation för SEAM Augusti 1999

5 KAPITEL 1 Produktöversikt över SEAM Det här kapitlet innehåller en allmän översikt över Sun TM Mechanism (SEAM). Kapitlet behandlar följande: 4 Innehåll i SEAM på sidan 1 4 Produktberoenden för SEAM på sidan 2 4 Status på sidan 2 4 Kända fel på sidan 3 Enterprise Authentication Introduktion SEAM är utformat för att förbättra systemsäkerheten genom stöd för Kerberos V5-verifiering, skydd av personuppgifter och dataintegritet. Säkerheten förbättras även genom stöd för enstaka nätverksinloggningar med Kerberos-anpassade inloggningsmekanismer och NFS TM -tjänster. Innehåll i SEAM Den här versionen av SEAM innehåller följande: 4 KDC (Key Distribution Center) 4 KDC-tjänster 4 kadmind och krb5kdc 1

6 4 Administrationsverktyg för KDC 4 kadmin, kadmin.local ochgkadmin 4 kpropd 4 Kerberos-verktyg 4 kdestroy, kinit, klist och kpasswd 4 Kerberos-anpassade verktyg och bakgrundsprogram 4 ftp, rcp, rlogin, rsh och telnet 4 ftpd, rlogind, rshd och telnetd 4 Dokumentation: 4 Sun Enterprise Authentication Mechanism Guide-sv 4 Installations- och tilläggsinformation för SEAM (det här dokumentet) 4 Direkthjälp (man-sidor) Produktberoenden för SEAM För att SEAM ska fungera måste Solaris 2.6 eller 2.7 vara installerat. XFN och JDK TM 1.1 måste också vara installerade. Status SEAM utvecklas hela tiden och kan ändras. Interoperabilitet för SEAM SEAM har testats och fungerar med både MIT Kerberos V5 1.0 och NT Installations- och tilläggsinformation för SEAM Augusti 1999

7 SEAM och MIT SEAM fungerar med MIT-installationer med följande undantag: 1. gkadmin och kadmin fungerar inte med KDC:er för MIT. Anledningen är att gkadmin och kadmin använder protokollet RPCSEC_GSS för att säkra anslutningen till KDC:n. MIT Kerberos V5 1.0 använder protokollet AUTH_GSSAPI, som inte är standard, för säkerheten. Eftersom protokollen skiljer sig åt kan du inte använda gkadmin och kadmin med en KDC för MIT. 2. SEAM innehåller inte kommandot ksu. I stället används PAM så att su klarar det mesta som ksu gör. En skillnad är att ksu läser filen k5login för att se om användaren som använder su får göra det utan att ange lösenord, om användaren har Kerberos V5-referenser. Den här kontrollen utförs inte i SEAM. 3. Det är inte meningen att koden för SEAM och MIT Kerberos V5 ska kunna finnas på samma värd. Även om det teoretiskt skulle kunna gå så finns inget stöd för det. 4. SEAM kräver att rpcbind körs. Det gör inte MIT Kerberos V5. SEAM och NT Information om hur SEAM fungerar med NT finns på: Den här webbplatsen innehåller de senaste resultaten från testningen av SEAM och NT, samt information om sätt att få dem att fungera tillsammans. Kända fel Här är en lista över kända fel SEAM 1.0. Varje post innehåller felnummer och en sammanfattning, samt en kort beskrivning av felet : dtlockscreen använder en traditionell metod i stället för PAM för kontroll av lösenord. dtlockscreen använder en traditionell metod i stället för PAM för att kontrollera att användarnas lösenord är giltiga. Kommandot anropar endast PAM om lösenordet inte är giltigt. Det innebär ett potentiellt säkerhetsproblem eftersom en användare kan få tillgång till en dator som visar ett skärmlås som endast använder lösenordet som anges i namntjänsten för UNIX TM -verifiering : skräptecken i användningmeddelandet för kerberos-anpassat rsh. rsh, rlogin och rcp visar alternativsträngen för ogiltiga alternativ. De borde visa programnamnet. Produktöversikt över SEAM 3

8 : gkadmin: Lösenordet upphör att gälla: felaktig information visas i fältet När gkadmin används för ändring av lösenordet ändras tiden då lösenordet går ut, eftersom kommandot hämtar tidpunkten från en princip som är tilldelad en principal. Det visas inte tydligt i det grafiska användargränssnittet att sista användningstid kommer från en princip. Sista användningstid för lösenordet ändras alltid oavsett om lösenordet ändras med kadmin, kadmin.local, gkadmin, kpasswd eller passwd. Användarna bör vara uppmärksamma på att det alltid finns två alternativ när de ändrar lösenord: de kan antingen radera fältet för sista användningstid så att det kan fyllas i av servern med information från principen, eller ange ett datum för att uttryckligen ställa in sista användningstid : Det Kerberos-anpassade kommandot rsh -f fungerar inte som det ska. Om användaren uttryckligen ber om vidarebefordringsbara referenser och det inte finns några sådana kommer kommandot rsh att misslyckas : "telnet> encrypt enable DES_OFB64" fryser sessionen. Krypteringstypen DES_OFB64 kan inte användas för datakryptering i Det går bara att använda standardkrypteringstypen DES_CFB64. telnet : gkadmin bör om möjligt kontrollera med principen när lösenord ska genereras. När en användare använder gkadmin för att generera ett slumpmässigt lösenord för en principal, bör verktyget försöka kontrollera med principen som används för att avgöra hur många tecken och teckenklasser som ska användas. Om verktyget gör det accepterar kadmin-api:t i de flesta fall det första lösenordet som genereras : Användningen av Kerberos-anpassat rlogin-kommando mellan användarkategorier avslås inte trots att fel lösenord används. När det kerberos-anpassade kommandot rlogin är aktiverat i inetd.conf men inte i pam.conf (på en värd som kör en rlogin-server), verifieras en användare på rätt sätt med Kerberos V5 när rlogin används mellan användarkategorier. Om användaren tillfrågas om ett lösenord godkänns dock alla lösenord. Det här är inte en säkerhetslucka eftersom användaren har verifierats med Kerberos V5. Undvik att inaktivera rlogin i pam.conf om det är aktiverat i netd.conf : när alternativet -r används för telnet, visar telnet ^] som avbrottstecken. Avbrottstecknet är ~, vilket beskrivs i direkthjälpen (man-sida). 4 Installations- och tilläggsinformation för SEAM Augusti 1999

9 : Kommandot kprop visar "Broken Pipe" när kpropd.acl saknar en post för huvudservern. Om /etc/krb5/kpropd.acl inte är korrekt inställd på en underordnad KDC går det inte att köra kommandot kprop på klienten och meddelandet "Broken Pipe" visas : gkadmin: när biljetten upphör att gälla bör inloggningsfönstret visas för återverifiering. När referensen för administratören som är inloggad som gkadmin upphör att gälla vore det bra om gkadmin kunde visa ett meddelande om att biljetten eller referensen har upphört att gälla. När sedan administratören klickar på knappen OK bör gkadmin stänga det aktuella fönstret för administrationsverktyget för SEAM och ta användaren till fönstret "SEAM administrationsinloggning" där prompten visas vid fältet "Lösenord:", för att visa att användaren behöver ange lösenordet för återverifiering : gkadmin: Det går inte att ändra namn på principal/ princip. Kommandot gkadmin stöder inte funktionen för att ändra namn på principaler eller principer. Om du vill ändra namn kopierar du principalen eller principen till det nya namnet med hjälp av knappen Duplicera och tar sedan bort den gamla principalen eller principen : gkadmin: Vissa objekt i det grafiska användargränssnittet i fönstret Egenskaper saknar en del kanter. Knappen "..." i "Tidsgräns för cachelagring av listor" saknar höger kant. När du har valt "Visa lista" eller "Cachelagra alltid listor" saknar den markerade rektangeln kring knapparna vänster kant : gkadmin: smärre problem med hjälpfönstret för utskrift för SEAM. Hjälpfönstret för utskrifter i SEAM kan visa data som anges innan du klickar på Avbryt. När du klickar på Avbryt bör alla ändringar ignoreras och allt före ändringarna återställas. Dessutom raderas inte textfältet för Filnamn i hjälpfönstret för utskrifter i SEAM som det ska : gkadmin: Knappen Stäng fungerar inte som den ska i vissa hjälpfönster. När xhosting används för det grafiska användargränssnittet för administrationsverktyget för SEAM fungerar inte knappen Stäng som den ska i vissa hjälpfönster. Produktöversikt över SEAM 5

10 : kadmin och gkadmin bör visa en alternativ sträng när giltighetstiden är 2^31-1. När användaren skapar en ny principal och giltighetstiden för biljetter ska ställas in på KDC-sidan lagras värdena = 2^31-1 i principaldatabasen. När en principal visas bör inte värdet visas i det grafiska användargränssnittet eller dagar 03:14:07 visas i kommandoradsgränssnittet. I stället bör en sträng visas som är lättare att förstå. Den här typen av kontroll utförs när datumet 0 visas som "Aldrig" : Tiden i varningsmeddelandet för när referensen slutar gälla är missvisande. Om den ursprungliga tiden för när biljetten löper ut är tidigare än varningströskeln i /etc/krb5/warn.conf visas ett varningsmeddelande om att biljetten slutar gälla inom tidsperioden som anges i filen warn.conf och inte när giltighetstiden för biljetten är slut : Tjänstbiljetter lagras inte i biljettcachen när kinit används med en giltighetstid kortare än 30 minuter. När en användare skaffar referenser (en biljettbeviljarbiljett) med hjälp av kinit -l med en giltighetstid som är kortare än 30 minuter hamnar inga tjänstbiljetter som skapas från referensen i biljettcachen. Anledningen är att när en förnyelsebar referens har en giltighetstid kortare än 30 minuter försöker SEAM att automatiskt förnya referensen för att underlätta för användaren. När en referens förnyas tas den tidigare referensen och dess tjänstebiljetter bort. Inget annat händer eftersom eventuella sessioner som skapats med den gamla tjänstbiljetten räcker under biljettens giltighetstid. Starta inte kinit med alternativet l för att ange en giltighetstid för biljetter på mindre än 30 minuter : Det finns vissa problem med kinit -s. Användare kan inte använda kinit för att skaffa en efterdaterad biljett med en starttid som är senare än 19 dagar fram i tiden från dagens datum : gkadmin: Retur-tangenten ger olika resultat när en ny princip skapas. För närvarande skapas inte en princip automatiskt när användaren trycker på Retur-tangenten när ett principnamn har angetts på panelen "Informationsprincip" med standardvärden för parametrar. När du trycker på Retur-tangenten bör du få samma resultat som när du klickar på knappen Klar : gkadmin: hela namnet visas inte i fältet "Senast ändrad av:". Instansnamnet visas inte i fältet Senast ändrad av, vilket gör att admin-principaler inte kan identifieras på rätt sätt. 6 Installations- och tilläggsinformation för SEAM Augusti 1999

11 : Dokumentera förhandling om giltighetstid och förnyelsebar giltighetstid i direkthjälpen (man-sida) för kinit. När en användare anger giltighetstid på kommandoraden blir den faktiska giltighetstiden för biljetten som hämtas minst följande: Värdet som anges på kommandoraden. Värdet som anges i konfigureringsfilen för KDC:n. Värdet som anges Kerberos-databasen för serverprincipalen. För kinit är det krbtgt/< namn på användarkategori>. Värdet som anges i Kerberos-databasen för användarprincipalen : gkadmin: Hjälpfönstret för datum och tid ändrar inte 29 feb till 28 feb när årtalet ändras. När du ändrar årtal i hjälpfönstret för datum och tid räknas inte senast tillåtna datum om för månaden : gkadmin: Retur-tangenten fungerar inte för markerade knappar i det grafiska användargränssnittet. Det går att klicka med musen på knappar i det grafiska användargränssnittet, men inte trycka på Retur eller Enter : "kadmin: add_principal -expire "1/1/2000 7:00am" xhu" fungerar inte. Alternativet expire för add_principal i kommandot kadmin fungerar inte när en tid på förmiddagen anges. Till exempel: kadmin: add_principal -expire "9/1/1999 7:00am" xhu Ogiltig datumangivelse "9/1/1999 7:00am". Det fungerar med "pm". Om du vill ha en tid på förmiddagen ska du inte ange "am" i tidsangivelser före klockan tolv på dagen. Du lägger till den här principalen genom att: kadmin: add_principal -expire "9/1/1999 7:00" : dokument om hur du lägger till principaler utan att använda DNS. I procedurerna i dokumentationen för SEAM förutsätts att DNS används, och därför är alla värdar och tjänstprincipaler fullständiga domännamn. Om du inte använder DNS ska du inte ange domännamnet när du skapar principaler. Till exempel ska du ange kdc1.acme.com i stället för kdc1. Produktöversikt över SEAM 7

12 8 Installations- och tilläggsinformation för SEAM Augusti 1999

13 KAPITEL 2 Installation av SEAM Det här kapitlet innehåller instruktioner för installation av SEAM och det bör läsas av alla som ska installera produkten. Kapitlet innehåller procedurer för förkonfigurering och installation av SEAM. Med den första proceduren kan en stor del av den platsspecifika informationen förkonfigureras så att filerna inte behöver redigeras för hand som en del av installationsprocessen. Proceduren omfattar även en lokal installation. Med den andra proceduren läggs all programvara för SEAM till med hjälp av informationen för förkonfigureringen. I det här kapitlet behandlas följande: 4 Innehåll i SEAM-paketet på sidan 9 4 Installera programvara för SEAM på sidan 12 4 Avinstallera SEAM på sidan 24 Innehåll i SEAM-paketet Programvaran för SEAM kan installeras på en klient, en underordnad KDC-server eller en huvud-kdc-server. Alla andra sorters servrar (t ex ett SEAM-program eller en NFS-server för SEAM) konfigureras när programvarupaketen har installerats. Varje typ av installation lägger till ett eller flera paket, varav några ändrar filer som är viktiga för systemsäkerheten. Klientpaket för SEAM Klientpaketen innehåller direkthjälpen för SEAM (man-sidor), Kerberos-programmen (t ex klist), administrationsprogrammen (kadmin och gkadmin), samt 9

14 Kerberos-anpassade bakgrundsprogram och verktyg (t ex ftp och ftpd). Följande filer redigeras under installationsprocessen: /etc/inetd.conf, /etc/services, /etc/pam.conf och /etc/krb5/krb5.conf. Om du har gjort platsspecifika ändringar i de här filerna bör du kontrollera filinnehållet efter installationen. Dessutom installeras filer som ger stöd för ramverket GSS_API och RPCSEC_GSS. Detta gäller dock endast Solaris 2.6-klienter. Dessa filer ingår i Solaris 7, så de läggs endast till för Solaris 2.6-klienter. Bland de nya säkerhetsrelaterade filerna som installeras finns /etc/gss/gsscred.conf, /etc/gss/mech, /etc/gss/qop och /etc/nfssec.conf. Dessutom redigeras crontab-filen för root och /etc/inetd.conf. Om du har gjort platsspecifika ändringar i de här filerna bör du kontrollera filinnehållet efter installationen. Paket för underordnande KDC:er Under installationsprocessen för en underordnad KDC installeras alla klientpaket samt ytterligare paket som innehåller verktyg som behövs för KDC-servern. Ett startskript installeras i /etc/init.d/kdc. Det startar bakgrundsprogrammen för den underordnade KDC:n. Dessutom redigeras filerna /etc/krb5/kdc.conf och /etc/inetd.conf. Paket för huvud-kdc Umder installationsprocessen för en huvud-kdc installeras alla klientpaket, paketet för underordnade KDC:er, samt ett paket som innehåller filer och verktyg endast för huvud-kdc-servern. Under processen redigeras crontab-filen för root och ett startskript installeras i /etc/init.d/kdc.master. Dessutom lägger installationen till en fil som styr åtkomsten till KDC:n, /etc/krb5/kadm5.acl, och en fil som styr överföringen av KDC-databasen, /etc/krb5/kpropd.acl. Det är viktigt för säkerheten för KDC-databasen att dessa filer säkras. Korrigeringsfiler De korrigeringsfiler som följer med SEAM är till för SPARC TM - och Intel-datorer med Solaris TM 2.6. Vissa av korrigeringsfilerna är till för fel som inte är relaterade till SEAM. Det beror på att korrigeringsfilerna för SEAM och de som inte är till för SEAM påverkar samma binärfil. Alla korrigeringsfiler som följer med är officiella. Samtliga korrigeringsfiler är obligatoriska för att du ska kunna använda Kerberos V5-säkerhet med NFS-filsystem och exportfunktioner för NFS. Om du inte använder SEAM för att säkra NFS-filsystemet behöver du inte använda korrigeringsfilerna. 10 Installations- och tilläggsinformation för SEAM Augusti 1999

15 Korrigeringsfiler för Solaris är numrerade med formatet XXXXXX-VV, där XXXXXX är filens ID-nummer och VV är versionsnumret. Vanligen är ID-numret för en korrigeringsfil för i386-system samma som ID-numret för SPARC-versionen, plus ett. Här följer en lista över alla korrigeringsfiler som följer med SEAM 1.0. ID-numret för SPARC står först i listan / Utan den här korrigeringen kommer funktionen för automatisk montering att krascha vid åtkomst till NFS-filsystem som är monterade med Kerberos V5-säkerhet (NFS-servern delar filsystemet med sec= krb5, krb5i eller krb5p) / Utan den här korrigeringen fungerar inte kommandot chgrp på NFS-filsystem som har monterats med Kerberos V5-säkerhet / Utan den här korrigeringen kan du inte exportera NFS-filsystem från servrar med kommandon som: share o sec=krb5,rw=mpk16-labnets,ro=engineering /export/krb5. Mindre komplicerade kommandon som: share o sec=krb5 /export/krb5 fungerar med eller utan korrigeringsfilen / Den här korrigeringsfilen åtgärdar en minnesläcka som uppstår när du använder NFS-filsystem med Kerberos V5-säkerhet / Den här korrigeringsfilen ser till att XFN kan skala om till stora tabeller som är lämpliga för användning med kommandot gsscred. Omdu inte tänker använda XFN behöver du inte heller använda den här korrigeringsfilen. Översikt över uppgifter för installation av SEAM För bästa funktion bör du utföra installationen av SEAM i en viss ordning. Du kan ändra ordning om du vill men då kanske du måste ta om vissa steg eller så måste du ändra konfigureringsfilerna för hand. Installation av SEAM 11

16 TABELL 2 1 Första stegen: Konfigureringsordning för SEAM Uppgift Beskrivning Om du vill ha instruktioner går du till Planera för installationen av SEAM 2. (Valfritt) Installera NTP 3. (Valfritt )Kör förkonfigureringsproceduren för SEAM 4. Kör proceduren för installation av programvara för SEAM 5. Konfigurera huvud-kdc-servern 6. Ytterligare instruktioner för konfigurering av SEAM Tänk igenom olika konfigureringsalternativ och bestäm vilka som ska gälla innan installationen påbörjas. För att SEAM ska fungera ordentligt måste alla systemklockor i användarkategorin vara synkroniserade. Du kan använda den här här proceduren för att underlätta installation av en plats med många värdar genom att lagra en stor del av installationsinformationen på en NFS-server. Denna information kan sedan användas under installationen. Så installerar du programvarupaket för SEAM på en klient eller server. Instruktioner för hur du konfigurerar och skapar huvud-kdc-servern och en databas för en användarkategori. Instruktioner för konfigurering av underordnade KDC:er, SEAM-klienter, NFS-servrar för SEAM och annat. in Sun Enterprise Authentication Mechanism Guide-sv Synkronisera klockor mellan KDC:er och SEAM-klienter i Användarhandboken för Sun Enterprise Authentication Mechanism Så förkonfigurerar du SEAM-installationer på sidan 16 Så installerar du programvara för SEAM med hjälp av det grafiska användargränssnittet på sidan 21 in Sun Enterprise Authentication Mechanism Guide-sv in Sun Enterprise Authentication Mechanism Guide-sv Installera programvara för SEAM Installationen fungerar bäst med följande tillvägagångssätt. Första steget är att skapa en skrivbar plats där filerna som används under konfigureringsprocessen placeras. 12 Installations- och tilläggsinformation för SEAM Augusti 1999

17 Det bör gå att exportera det skrivbara filsystemet och en avbildning av SEAM-paketen till alla datorer där SEAM ska installeras. Du kan välja att antingen: 1. Kopiera CD-skivan för SEAM til en lokal enhet på en NFS-server som kan exporteras se Så kopierar du SEAM-avbildningen till ett lokalt filsystem på sidan Montera ett skrivbart filsystem på CD-skivan och exportera båda se Så monterar du ett skrivbart filsystem på CD-skivan för SEAS på sidan 15. När du har förberett en skrivbar plats ska du definiera information som krävs för konfigureringsfilerna så att du slipper ange den för hand. Detta kallas även för proceduren för förkonfigurering. Under den sista proceduren installeras programvaran för SEAM med hjälp av informationen för förkonfigureringen, om det finns någon. Proceduren för att upprätta konfigureringsfiler för huvud-kdc, underordnad KDC och SEAM-klienter är valfri, men om det handlar om många datorer finns det många fördelar med att använda de här konfigureringfilerna. 1. Du behöver bara ange data en gång vilket gör att installationen går snabbare. 2. Eftersom alla installationer använder samma konfigureringsfiler minskar risken för fel under installationen. Verktyget som används under den här proceduren samlar in och lagrar information om t ex namn på användarkategorin, namnen på KDC-servrar och annan viktig information. Nästa steg är att installera SEAM. Innan du försöker installera måste du avgöra vilken typ av system du behöver. Under installationsprocessen kan du välja en installation av en huvud-kdc, en underordnad KDC eller en SEAM-klient. Paketen för huvud-kdc bör bara installeras på servern för huvud-kdc:n och paketen för underordnad KDC bör bara installeras på servrarna för de underordnade KDC:erna (se Så installerar du programvara för SEAM med hjälp av det grafiska användargränssnittet på sidan 21). Klientpaketen för SEAM bör installeras på alla värdar som ska ha SEAM. Det kan handla om programservrar i nätverket, NFS-servrar och klienter. Om förkonfigureringen är klar går det att använda en enklare procedur för installationen av SEAM-klienter (se Så installerar du SEAM-klienter utan det grafiska användargränssnittet på sidan 23). Den sista proceduren i det här avsnittet visar hur du korrigerar ett system där all programvara har installerats utan att förkonfigureringen är klar. Det kan inträffa om standardinstallationen av SEAS 3.0 utförs utan att proceduren för förkonfigurering har klarats av först. En fullständig förklaring finns i Så korrigerar du ett system som inte har konfigurerats på sidan 23. Installation av SEAM 13

18 Så kopierar du SEAM-avbildningen till ett lokalt filsystem Om du inte vill lämna CD-skivan för SEAS 3.0 monterad på servern under SEAM-installationen kan du göra SEAM-avbildningen tillgänglig genom att kopiera paketen från CD-skivan. Paketen kräver omkring 50 MB. För den här proceduren krävs att CD-skivan för SEAS 3.0 finns tillgänglig på servern. 1. Växla till root på en NFS-server. 2. Kopiera SEAM-avbildningen från CD-skivan för SEAS 3.0 CD till ett lokalt filsystem. # cd /export # mkdir SEAM # cd /cdrom # find.install products/sun_enterprise_authentication_mechanism_1.0 -print cpio -dump /export/seam Den sista raden är uppdelad på två rader för läsbarhetens skull, men den ska anges som ett enda kommando. 3. Exportera filsystemet. För att konfigureringsfilerna ska vara tillgängliga för alla installationer måste /export eller /export/seam vara monterbart (NFS) för all värdar. a. Redigera filen /etc/dfs/dfstab. Lägg till en post för antingen /export eller /export/seam, om det inte redan finns någon. share -f nfs -ro /export/seam b. Starta NFS-tjänsterna. Om det här är första gången du använder kommandot share eller en uppsättning av share-kommandon är det troligt att bakgrundsprogrammen för NFS inte körs. Följande kommandon stoppar bakgrundsprogrammen och startar om dem. 14 Installations- och tilläggsinformation för SEAM Augusti 1999

19 # /etc/init.d/nfs.server stop # /etc/init.d/nfs.server start Vidare instruktioner Nu när du har förberett en plats för lagring av konfigurationsfilen kan du fortsätta med instruktionerna i Så förkonfigurerar du SEAM-installationer på sidan 16. Så monterar du ett skrivbart filsystem på CD-skivan för SEAS Om du vill ha kvar CD-skivan för SEAS på servern under installationen måste du montera ett skrivbart filsystem på CD-skivan för att skapa en plats där informationen för förkonfigureringen kan lagras. För den här proceduren krävs att CD-skivan för SEAS 3.0 finns tillgänglig på servern. 1. Växla till root på en NFS-server. 2. Skapa ett filsystem för förkonfigureringsfilerna. # cd /export # mkdir SEAM_preconfig 3. Montera filsystemet på CD-skivan för SEAS. # SEAM=/cdrom/products/Sun_Enterprise_Authentication_Mechanism_1.0/\ >.install/pkgutil/siteconfig_response # mount -F lofs /export/seam_preconfig $SEAM 4. Exportera filsystemet. Installation av SEAM 15

20 För att konfigureringsfilerna ska vara tillgängliga för alla installationer måste /export eller /export/seam vara monterbart (NFS) för all värdar. a. Redigera filen /etc/dfs/dfstab. Lägg till en post för /cdrom och för den nya katalogen /export/seam_preconfig, om det inte redan finns någon. share -f nfs -ro /cdrom share -f nfs -ro /export/seam_preconfig b. Starta NFS-tjänsterna. Om det här är första gången du använder kommandot share eller en uppsättning av share-kommandon är det troligt att bakgrundsprogrammen för NFS inte körs. Följande kommandon stoppar bakgrundsprogrammen och startar om dem. # /etc/init.d/nfs.server stop # /etc/init.d/nfs.server start Vidare instruktioner Nu när du har förberett en plats för lagring av konfigurationsfilen kan du fortsätta med instruktionerna i Så förkonfigurerar du SEAM-installationer på sidan 16. Så förkonfigurerar du SEAM-installationer Du kan använda den här proceduren för att förkonfigurera en stor del av informationen som behövs vid konfigureringen av KDC:er och SEAM-klienter. Om det krävs förkonfigurering måste det finnas ett skrivbart filsystem tillgängligt för informationen för förkonfigureringen (se Så kopierar du SEAM-avbildningen till ett lokalt filsystem på sidan 14 eller Så monterar du ett skrivbart filsystem på CD-skivan för SEAS på sidan 15). Informationen som lagras i NFS-filsystemet kan kommas åt av alla värdar i användarkategorin under installationsprocessen. Den här proceduren är valfri men är mycket användbar för installation på många datorer samtidigt. 16 Installations- och tilläggsinformation för SEAM Augusti 1999

21 Med den här proceduren installeras SEAM på NFS-servern med hjälp av informationen för förkonfigurering, men inga av SEAM-programmen kommer att fungera förrän minst en huvud-kdc installeras. I den här proceduren används följande konfigureringsparametrar: maskinvarukonfiguration = SPARC användarkategori = ACME.COM DNS-domän = acme.com huvud-kdc = ACME.COM underordnad KDC = ACME.COM answerbook-server = denver direkthjälps-url = filsystemet med SEAM-paket = /export/seam 1. Växla till root på en NFS-server. 2. Starta installationsprocessen. # cd /export/seam/products/sun_enterprise_authentication_mechanism_1.0 #./installer Om du använder CD-skivan i stället för en NFS-server för installationen av paket hittar du installationsprogrammet i: /net/denver/cdrom/products/ Sun_Enterprise_Authentication_Mechanism_ Klicka på Nästa på Välkomstskärmen. 4. Välj installationstyp. På nästa skärm ombes du välja standardinstallation eller anpassad installation. Välj anpassad installation så att du kommer till skärmbilderna för förkonfigurering. Fortsätt genom att klicka på Nästa. 5. Klicka på Nästa på på skärmen Språkval. Installation av SEAM 17

22 6. Välj vilka programvarukomponenter som ska installeras. Du behöver inte välja någon komponent om NFS-servern inte ska vara en SEAM-klient eller om du håller på att samla in information för förkonfigurering. Du ska endast välja komponenterna Kärnmodul och SEAM-klient för en NFS-server med Solaris 7 som ska tillhandahålla Kerberos-anpassat NFS-stöd. För en NFS-server med Solaris 2.6 som ska tillhandahålla Kerberos-anpassat NFS-stöd väljer du samma komponenter och lägger till korrigeringsfilerna för 5.6 och komponenten GSS-API. Fortsätt genom att klicka på Nästa. Efter det här steget utförs en kontroll av hårddiskutrymmet. Om det finns tillräckligt med utrymme behöver du inte göra något mer. 7. Ange platskonfigureringsinformation. På nästa skärm kan du välja konfigureringsprocedur och ange konfigureringsinformation. a. Välj konfigureringsprocedur. Du kan välja hur datorn ska konfigureras i den övre delen av skärmbilden. För den här proceduren bör du välja Konfigurera om platsinformationen. Du kan välja: 4 Använd tidigare konfigurerad platsinformation Välj det här alternativet efter att processen för förkonfigurering är slutförd. 4 Konfigurera om platsinformationen Välj det här alternativet för att ange ny information. 4 Konfigurera endast den här datorn Välj det här alternativet för att ange ny information för den här värden. 4 Konfigurera den här datorn senare Välj det här alternativet om du är osäker på en del konfigureringsparametrar, men vill installera paketen ändå. b. Ange katalog för platskonfigurationen. Sökvägen bör vara till ett filsystem som kan monteras av alla datorer där SEAM ska installeras. c. Ange användarkategori. Som standard anges namnet på användarkategorin med stora bokstäver så att det går att skilja från andra domännamn. I det här exemplet är domännamnet ACME.COM. d. Ange namn för servrarna för huvud-kdc och underordnad KDC. Använd fullständigt värdnamn. I det här exemplet är värdnamnen kdc1.acme.com för huvud-kdc:n och kdc2.acme.com för den underordnade KDC:n. Du kan lägga till valfritt antal underordnade KDC:er. 18 Installations- och tilläggsinformation för SEAM Augusti 1999

23 e. Ange namnet på DNS-domänen för den här användarkategorin. f. Ange URL för direkthjälpen. Den här URL:en används av administrationsverktyget för SEAM och därför bör den anges korrekt så att menyn Hjälpavsnitt fungerar. Du kan installera webbversionen av den här handboken på valfri lämplig AnswerBook2-server. Du måste ändra posten localhost och lägga till information efter SEAM-delen av adressen. I det här exemplet är URL:en såvida inte en annan placering av sidorna är lämpligare. Avsnittet Administrationsverktyget för SEAM i kapitlet Administrera principaler och principer i Användarhandboken för Sun Enterprise Authentication Mechanism är föreslagen plats. Du kan kontrollera URL:en genom att mata in den i en webbläsare och se om sidan finns tillgänglig. Kontrollera att dokumentationen för SEAS har installerats innan du försöker kontrollera URL:en. g. Ange maximal giltighetstid för biljetter. Ändra inte standardvärdet om det går att använda. h. Ange maximal giltighetstid för förnyelsebara biljetter. Ändra inte standardvärdet om det går att använda. i. Granska dina inställningar. Om de är riktiga klickar du på Nästa för att fortsätta. När du klickar på Nästa sparas informationen för förkonfigurering i konfigureringskatalogen. Installation av SEAM 19

24 8. Påbörja installationen genom att klicka på Installera nu. De komponenter du har valt visas på skärmen. Om du inte har valt några komponenter och du bara hämtar in information för förkonfigurering kan du klicka på Avsluta. 9. En sammanfattning av installationsprocessen visas. Fortsätt genom att klicka på Nästa. 10. På nästa skärm visas ytterligare information. Avsluta proceduren genom att klicka på Avsluta. Ett fönster visas med en fråga om du vill starta om. Du behöver inte starta om förrän SEAM ska användas på servern. 20 Installations- och tilläggsinformation för SEAM Augusti 1999

25 Så installerar du programvara för SEAM med hjälp av det grafiska användargränssnittet I det här exemplet har installationen av huvudservern för SEAM valts, men proceduren är i stort sett densamma för installationer av underordnade servrar och klienter. SEAM-paketen har installerats i /net/denver/export/seam, men de kan även installeras i ett lokalt filsystem eller från CD-skivan för SEAS. Instruktionerna i Så installerar du SEAM-klienter utan det grafiska användargränssnittet på sidan 23 visar hur du installerar SEAM-klienter snabbare. 1. Starta installationsskriptet. # cd /net/denver/export/seam/products/sun_enterprise_authentication_mechanism_1.0 #./installer 2. Klicka på Nästa på Välkomstskärmen. 3. Välj installationstyp. På nästa skärm ombes du välja standardinstallation eller anpassad installation. Välj anpassad installation. Fortsätt genom att klicka på Nästa. 4. Klicka på Nästa på på skärmen Språkval. Det finns för närvarande inga platser att välja i SEAS. 5. Klicka på Nästa på skärmen Välj installationsmapp. Filerna installeras i flera kataloger. Sökvägen måste vara /. 6. Välj vilka programvarukomponenter som ska installeras. För en huvudserver väljer du paketet Huvudserver. För en underordnad server väljer du paketet Underordnad server. Lägg till andra paket som du behöver. Fortsätt genom att klicka på Nästa. Efter det här steget utförs en kontroll av hårddiskutrymmet. Om det finns tillräckligt med utrymme behöver du inte göra något mer. 7. Påbörja installationen genom att klicka på Installera nu. De komponenter du har valt visas på skärmen. Installation av SEAM 21

26 8. Välj konfigureringsprocedur och katalog. På nästa skärm kan du välja konfigueringsprocedur och ange sökväg till konfigureringsfilerna. Om det finns förkonfigurerad platsinformation väljer du Använd tidigare konfigurerad platsinformation och anger sökväg till katalogen med konfigureringsfilerna. 9. En sammanfattning av installationsprocessen visas. Fortsätt genom att klicka på Nästa. 10. På nästa skärm visas ytterligare information. Avsluta proceduren genom att klicka på Avsluta. Vidare instruktioner I Användarhandboken för Enterprise Authentication Mechanism finns en lista på uppgifter som kan utföras när installationen av programvaran för SEAM är klar. 22 Installations- och tilläggsinformation för SEAM Augusti 1999

27 Så installerar du SEAM-klienter utan det grafiska användargränssnittet När processen för förkonfigurering är klar går det att installera SEAM-klienter utan att använda det grafiska användargränssnittet. Det innebär att du slipper gå igenom skärmbilderna, vilket gör att installationen går snabbare. Du kan bara lägga till klientpaket eftersom du inte använder någon skärmbild. Om det behövs kan du installera alla klienter innan processen för förkonfigurering är klar och använda skriptet som nämns i Så korrigerar du ett system som inte har konfigurerats på sidan 23 för att slutföra konfigureringen. 1. Växla till root på klienten. 2. Ändra katalog till platsen för förkonfigurering. # cd /net/denver/export/seam/products/sun_enterprise_authentication_mechanism_1.0 Om du vill hämta paket från CD:n använder du sökvägen: /net/denver/cdrom/ products/sun_enterprise_authentication_mechanism_ Starta installationsprogrammet. #./installer -nodisplay Så korrigerar du ett system som inte har konfigurerats Om du har gjort en fullständig installation utan att först skapa filerna för förkonfigurering kan du korrigera systemet med hjälp av följande procedur. 1. Växla till root på systemet. 2. Kör skriptet som korrigerar konfigurationen. # cd /net/denver/export/seam/products/sun_enterprise_authentication_mechanism_1.0 #./sparc/tools/seamfixconfig Installation av SEAM 23

28 Om du använder CD-skivan för SEAS 3.0 är sökvägen: /net/denver/cdrom/ products/sun_enterprise_authentication_mechanism_1.0. Avinstallera SEAM Det går att avinstallera SEAM, liksom de andra produkterna i Sun Easy Access Server 3.0, med kommandot prodreg. Mer information om det här verktyget finns i in Installationshandbok för Solaris Easy Access Server 3.0. Tillägg till Solaris Management Console När SEAM är installerat kan du starta administrationsverktyget för SEAM från SMC (Solaris Management Console). Du startar det grafiska användargränssnittet genom att dubbelklicka på kategorin säkerhet i den vänstra fönsterrutan i SMC och dubbelklicka på SEAM-ikonen i den högra fönsterrutan. 24 Installations- och tilläggsinformation för SEAM Augusti 1999