Создание keytab-файла

Создание keytab-файла для Active Directory

Keytab-файл создается на сервере контроллера домена или на компьютере под управлением Windows Server, входящем в домен, под учетной записью с правами доменного администратора.

Чтобы создать keytab-файл:

1. В оснастке Active Directory Users and Computers создайте отдельную учетную запись пользователя, которая будет использоваться для подключения приложения к LDAP-серверу (например, с именем ksmg-ldap).

   При создании пользователя выберите опцию Password never expires.

2. Чтобы использовать алгоритм шифрования AES256-SHA1, в оснастке Active Directory Users and Computers в свойствах созданной учетной записи на вкладке Account установите флажок This account supports Kerberos AES 256 bit encryption.
3. Создайте keytab-файл для пользователя ksmg-ldap с помощью утилиты ktpass. Для этого в командной строке выполните следующую команду:

   C:\Windows\system32\ktpass.exe -princ ksmg-ldap@<realm имя домена Active Directory в верхнем регистре> -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass <пароль пользователя ksmg-ldap> -out <путь к файлу>\<имя файла>.keytab

   Вы можете использовать символ * в качестве значения параметра -pass, чтобы не указывать пароль в тексте команды. В этом случае утилита запросит пароль в процессе выполнения команды.

   Пример: C:\Windows\system32\ktpass.exe -princ ksmg-ldap@COMPANY.COM -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass * -out C:\Keytabs\ksmg-ldap.keytab

Keytab-файл будет создан. В случае изменения пароля учетной записи потребуется сгенерировать новый keytab-файл.

Создание keytab-файла для FreeIPA

Keytab-файл создается на сервере контроллера домена FreeIPA под учетной записью с правами доменного администратора. По умолчанию это учетная запись admin.

Если вы хотите снизить риск компрометации соединения с LDAP-сервером FreeIPA или ALD Pro, вы можете создать keytab-файл с использованием служебной учетной записи. Подробнее см. раздел Использование служебной учетной записи для соединения с LDAP-сервером FreeIPA.

Чтобы создать keytab-файл:

1. С помощью утилиты kinit получите билет Kerberos для учетной записи с правами доменного администратора. Для этого в командной строке выполните следующую команду:

   kinit admin@<realm имя домена FreeIPA в верхнем регистре>

2. С помощью утилиты ipa создайте отдельную учетную запись пользователя, которая будет использоваться для подключения приложения к LDAP-серверу, например, с именем ksmg-ldap. Для этого в командной строке выполните следующую команду:

   ipa user-add ksmg-ldap --first=<Имя> --last=<Фамилия>

3. С помощью утилиты ipa-getkeytab создайте keytab-файл для пользователя ksmg-ldap. Для этого в командной строке выполните следующую команду:

   ipa-getkeytab -p ksmg-ldap@<realm имя домена FreeIPA в верхнем регистре> -k <имя файла>.keytab -e aes256-cts-hmac-sha1-96

Keytab-файл будет создан. В случае изменения пароля учетной записи потребуется сгенерировать новый keytab-файл.