3.3. Configuration d'un serveur et d'un client NFS pour l'utilisation de Kerberos

Kerberos est un système d'authentification réseau qui permet aux clients et aux serveurs de s'authentifier les uns les autres en utilisant un cryptage symétrique et un tiers de confiance, le KDC. Red Hat recommande d'utiliser Identity Management (IdM) pour configurer Kerberos.

Conditions préalables

  • Le centre de distribution de clés Kerberos (KDC) est installé et configuré.

Procédure

    • Créer le nfs/hostname.domain@REALM du côté du serveur NFS.
    • Créer le host/hostname.domain@REALM tant du côté du serveur que du côté du client.
    • Ajouter les clés correspondantes aux keytabs du client et du serveur.

  2. Côté serveur, utilisez l'option sec= pour activer les variantes de sécurité souhaitées. Pour activer toutes les saveurs de sécurité ainsi que les montages non cryptographiques : 

    /export *(sec=sys:krb5:krb5i:krb5p)

    Les saveurs de sécurité valables à utiliser avec l'option sec= sont les suivantes :

    • sys: pas de protection cryptographique, la valeur par défaut de l'option
    • krb5authentification uniquement

    • krb5iprotection de l'intégrité : protection de l'intégrité

      • utilise Kerberos V5 pour l'authentification des utilisateurs et effectue un contrôle d'intégrité des opérations NFS à l'aide de sommes de contrôle sécurisées afin d'empêcher la falsification des données.

    • krb5pprotection de la vie privée : protection de la vie privée

      • utilise Kerberos V5 pour l'authentification des utilisateurs, le contrôle d'intégrité et le chiffrement du trafic NFS afin d'empêcher le reniflage du trafic. Il s'agit du paramètre le plus sûr, mais c'est aussi celui qui entraîne le plus de surcoût en termes de performances.

  3. Côté client, ajoutez sec=krb5 (ou sec=krb5i, ou sec=krb5p, selon la configuration) aux options de montage : 

    # mount -o sec=krb5 server:/export /mnt

Ressources supplémentaires