OS X Lion : activation de l’authentification Kerberos avec un centre de distribution de clés tiers

1. Conformément à la page kbr5.conf(5), créez un fichier /etc/krb5.conf en saisissant les informations qui vous sont propres. Voici un exemple de fichier krb5.conf de base :

   [libdefaults]
   	default_realm = EXAMPLE.COM
   [realms]
   	EXAMPLE.COM = {
   		admin_server = kdc.example.com
   		kdc = kdc.example.com
   		kpasswd = kdc.example.com
   	}

2. Afin d’obtenir un ticket TGT lors d’une ouverture de session, modifiez le fichier /etc/pam.d/authorization, conformément à la page pam_krb5(8). Par exemple, vous devez ajouter l’option default_principal à la ligne pam_krb5.so si vous souhaitez utiliser d’autres comptes d’utilisateur ne comportant pas un attribut AuthenticationAuthority valide :

   auth       optional       pam_krb5.so use_first_pass use_kcminit default_principal

3. Pour obtenir un ticket TGT lors d’une authentification suite à la désactivation de l’économiseur d’écran, modifiez le fichier /etc/pam.d/screensaver, conformément à la page pam_krb5(8). Tout comme avec le fichier /etc/pam.d/authorization, vous devez ajouter l’option default_principal à la ligne pam_krb5.so si vous souhaitez utiliser des comptes d’utilisateur qui ne comportent pas un attribut AuthenticationAuthority valide :

   auth       optional       pam_krb5.so use_first_pass use_kcminit default_principal

4. Déconnectez-vous puis reconnectez-vous à l’aide d’un compte d’utilisateur dont le nom abrégé correspond à celui de l’utilisateur principal, dans la base de données Kerberos du centre de distribution des clés spécifié, comme indiqué dans le fichier /etc/krb5.conf. Pour savoir si vous disposez désormais d’un ticket TGT, utilisez l’application Ticket Viewer (qui se trouve dans /Système/Bibliothèque/CoreServices), ou exécutez la commande klist dans Terminal.

Remarque : cet article ne s’applique pas si un serveur OS X Server ou Active Directory est utilisé en tant que centre de distribution de clés tiers.