Kerberos аутентификация с истекающими паролями

Question

Мы используем аутентификацию Java Kerberos для подключения к нашей базе данных SQL Server из Linux. Здесь мы использовали имя пользователя и пароль для создания файла keytab в системе Linux. В настоящее время связь работает нормально.

Но было добавлено дополнительное требование для использования истекающих паролей, срок действия которых истекает каждые 3 месяца. В других наших приложениях мы используем API под названием CyberArk, который извлекает пароль из хранилища, и команде Ops не нужно беспокоиться об изменении пароля на сервере приложений, расположенном в системе Linux.

У кого-нибудь есть опыт использования Kerberos в такой среде? В основном мы стремимся не создавать файл keytab каждый раз, когда истекает срок действия пароля.

Answer 1

Я не думаю, что вы можете избежать восстановления файла keytab в случае смены пароля или истечения срока его действия. Однако вы можете сделать так, чтобы генерировать файл keytab на сервере Linux было безболезненно. для этого необходимо, чтобы сервер Linux присоединился к Active Directory с использованием собственной области инструментов RHEL или программного обеспечения Centrify.

Документ инструмента RHEL находится здесь https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/windows_integration_guide/realmd-domain

Для пользователя Centrify: https://community.centrify.com/t5/Centrify-Express/Replace-SSH-Keys-with-Kerberos-Keytabs/td-p/10112