Создание keytab-файла для FreeIPA
16 сентября 2026
ID 327032
Вы можете использовать одну учетную запись для аутентификации на всех узлах кластера. Для этого требуется создать keytab-файл, содержащий имена субъекта-службы (далее также "SPN") для каждого из этих узлов.
Действия перед созданием keytab-файла
Перед созданием keytab-файла следует для каждого SPN убедиться, что он не зарегистрирован в FreeIPA. Сделать это можно с помощью команды ipa service-find <SPN>, где <SPN> имеет следующий вид: HTTP/<полное доменное имя (FQDN) узла кластера>.
Если службы не найдены, это означает, что этот SPN не зарегистрирован. Если SPN уже зарегистрирован, перед созданием keytab-файла нужно удалить привязку SPN к учетной записи узла и удалить учетную запись узла, к которой был привязан этот SPN.
Пример проверки SPN для одного Управляющего и двух Подчиненных узлов: ipa service-find HTTP/control-01.test.local ipa service-find HTTP/secondary-01.test.local ipa service-find HTTP/secondary-02.test.local |
Создание keytab-файла
Keytab-файл создается на сервере контроллера домена FreeIPA под учетной записью с правами доменного администратора. По умолчанию это учетная запись admin.
Чтобы создать keytab-файл:
- С помощью утилиты kinit получите билет Kerberos для учетной записи с правами доменного администратора. Для этого в командной строке выполните следующую команду:
kinit admin@<realm имя домена FreeIPA в верхнем регистре> - Создайте отдельную учетную запись для каждого узла кластера с помощью команды:
ipa host-add <полное доменное имя (FQDN) узла кластера> - Для каждой учетной записи узла кластера добавьте запись SPN с помощью команды:
ipa service-add HTTP/<полное доменное имя (FQDN) узла кластера>@<realm имя домена FreeIPA в верхнем регистре> - С помощью утилиты ipa-getkeytab создайте keytab-файл для Управляющего узла. Для этого в командной строке выполните следующую команду:
ipa-getkeytab -p HTTP/<полное доменное имя (FQDN) Управляющего узла>@<realm имя домена FreeIPA в верхнем регистре> -k <имя файла>.keytab -e aes256-cts-hmac-sha1-96В созданный keytab-файл будет добавлен SPN Управляющего узла.
- Для каждого узла кластера добавьте в существующий keytab-файл запись SPN. Для этого выполните следующую команду:
ipa-getkeytab -p HTTP/<полное доменное имя (FQDN) узла>@<realm имя домена FreeIPA в верхнем регистре> -k <имя ранее созданного файла>.keytab -e aes256-cts-hmac-sha1-96
Keytab-файл будет создан. Этот файл будет содержать все добавленные SPN узлов кластера.
Пример: kinit admin@TEST.LOCAL ipa host-add control-01.test.local ipa host-add secondary-01.test.local ipa host-add secondary-02.test.local ipa service-add HTTP/control-01.test.local@TEST.LOCAL ipa service-add HTTP/secondary-01.test.local@TEST.LOCAL ipa service-add HTTP/secondary-02.test.local@TEST.LOCAL ipa-getkeytab -p HTTP/control-01.test.local@TEST.LOCAL -k kerberos-sso.keytab -e aes256-cts-hmac-sha1-96 ipa-getkeytab -p HTTP/secondary-01.test.local@TEST.LOCAL -k kerberos-sso.keytab -e aes256-cts-hmac-sha1-96 ipa-getkeytab -p HTTP/secondary-02.test.local@TEST.LOCAL -k kerberos-sso.keytab -e aes256-cts-hmac-sha1-96 |
