Создание keytab-файла
Kaspersky Anti Targeted Attack Platform поддерживает два способа аутентификации: одна часть пользователей может использовать для аутентификации внутреннюю учетную запись, другая часть пользователей может использовать доменную учетную запись.
Подробную информацию о доменной аутентификации в Kaspersky Anti Targeted Attack Platform см. в разделе Аутентификация с помощью доменных учетных записей.
Вы можете использовать одну учетную запись Active Directory для аутентификации на нескольких Central Node. Для этого требуется создать keytab-файл, содержащий имена субъекта-службы (далее также "SPN") для каждого из этих серверов. При создании keytab-файла потребуется использовать атрибут для генерации соли (salt, модификатор входа хеш-функции).
Сгенерированную соль необходимо сохранить любым удобным способом для дальнейшего добавления новых SPN в keytab-файл.
Вы также можете создать отдельную учетную запись Active Directory для каждого сервера Central Node, для которого вы хотите настроить Kerberos-аутентификацию.
Создание keytab-файла для аутентификации на нескольких Central Node под одной учетной записью
Чтобы создать keytab-файла для аутентификации на нескольких Central Node под одной учетной записью:
- На сервере контроллера домена в оснастке Active Directory Users and Computers создайте учетную запись пользователя (например, с именем
control-user).При создании учетной записи вы можете установить флажок Password never expires. Опция позволяет задать неограниченный срок действия пароля для учетной записи и тем самым избежать ошибок аутентификации после его истечения, так как криптографические ключи, сформированные на основе пароля и сохраненные в keytab-файле, также станут недействительными.
- Если вы хотите задать неограниченный срок действия пароля для уже существующей учетной записи, то в оснастке Active Directory Users and Computers выполните следующие действия:
- Откройте свойства созданной учетной записи.
- На закладке Account установите флажок Password never expires.
- Если вы хотите использовать алгоритм шифрования AES256-SHA1, то в оснастке Active Directory Users and Computers выполните следующие действия:
- Откройте свойства созданной учетной записи.
- На закладке Account установите флажок This account supports Kerberos AES 256 bit encryption.
- Создайте keytab-файл для пользователя
control-userс помощью утилиты ktpass. Для этого в командной строке выполните следующую команду:C:\Windows\system32\ktpass.exe -princ HTTP/<полное доменное имя (FQDN) сервера Central Node>@<realm имя домена Active Directory в верхнем регистре> -mapuser control-user@<realm имя домена Active Directory в верхнем регистре> -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass * +dumpsalt -out <путь к файлу>\<имя файла>.keytabУтилита запросит пароль пользователя
control-userв процессе выполнения команды.В созданный keytab-файл будет добавлено SPN выбранного сервера. На экране отобразится сгенерированная соль:
Hashing password with salt "<хеш-значение>". - Добавьте в keytab-файл запись SPN для каждого следующего сервера Central Node. Для этого выполните следующую команду:
C:\Windows\system32\ktpass.exe -princ HTTP/<полное доменное имя (FQDN) сервера Central Node>@<realm имя домена Active Directory в верхнем регистре> -mapuser control-user@<realm имя домена Active Directory в верхнем регистре> -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass * -in <путь и имя ранее созданного файла>.keytab -out <путь и новое имя>.keytab -setupn -setpass -rawsalt "<хеш-значение соли, полученное при создании keytab-файла на шаге 3>"Утилита запросит пароль пользователя
control-userв процессе выполнения команды.
Keytab-файл будет создан. Этот файл будет содержать все добавленные SPN выбранных серверов.
Пример: Например, вам нужно создать keytab-файл, содержащий SPN-имена 3 серверов: Чтобы создать в папке C:\keytabs\ файл под названием
Допустим, вы получили соль Для добавления еще одного SPN необходимо выполнить следующую команду:
Для добавления третьего SPN необходимо выполнить следующую команду:
В результате будет создан файл с именем |
Создание keytab-файла для аутентификации на каждом Central Node под отдельной учетной записью
Чтобы создать keytab-файл для аутентификации на каждом Central Node под отдельной учетной записью:
- На сервере контроллера домена в оснастке Active Directory Users and Computers создайте отдельную учетную запись пользователя для каждого сервера (например, учетные записи с именами
control-user,secondary1-user,secondary2-userи т.д.).При создании учетной записи вы можете установить флажок Password never expires. Опция позволяет задать неограниченный срок действия пароля для учетной записи и тем самым избежать ошибок аутентификации после его истечения, так как криптографические ключи, сформированные на основе пароля и сохраненные в keytab-файле, также станут недействительными.
- Если вы хотите задать неограниченный срок действия пароля для уже существующей учетной записи, то в оснастке Active Directory Users and Computers выполните следующие действия:
- Откройте свойства созданной учетной записи.
- На закладке Account установите флажок Password never expires.
- Если вы хотите использовать алгоритм шифрования AES256-SHA1, то в оснастке Active Directory Users and Computers выполните следующие действия:
- Откройте свойства созданной учетной записи.
- На закладке Account установите флажок This account supports Kerberos AES 256 bit encryption.
- Создайте keytab-файл для пользователя
control-userс помощью утилиты ktpass. Для этого в командной строке выполните следующую команду:C:\Windows\system32\ktpass.exe -princ HTTP/<полное доменное имя (FQDN) сервера Central Node>@<realm имя домена Active Directory в верхнем регистре> -mapuser control-user@<realm имя домена Active Directory в верхнем регистре> -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass * -out <путь к файлу>\<имя файла>.keytabУтилита запросит пароль пользователя
control-userв процессе выполнения команды.В созданный keytab-файл будет добавлено SPN выбранного сервера.
- Добавьте в keytab-файл запись SPN для каждого следующего сервера Central Node. Для этого выполните следующую команду:
C:\Windows\system32\ktpass.exe -princ HTTP/<полное доменное имя (FQDN) сервера Central Node>@<realm имя домена Active Directory в верхнем регистре> -mapuser secondary1-user@<realm имя домена Active Directory в верхнем регистре> -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass * -in <путь и имя ранее созданного файла>.keytab -out <путь и новое имя>.keytabУтилита запросит пароль пользователя
secondary1-userв процессе выполнения команды.
Keytab-файл будет создан. Этот файл будет содержать все добавленные SPN выбранных серверов.
Пример: Например, вам нужно создать keytab-файл, содержащий SPN-имена 3 серверов: Чтобы создать в папке C:\keytabs\ файл под названием
Для добавления еще одного SPN необходимо выполнить следующую команду:
Для добавления третьего SPN необходимо выполнить следующую команду:
В результате будет создан файл с именем |
