Montowanie NFS3 przy użyciu Kerberos i AD

Mam serwer Linux (Centos 5.6), który musi automatycznie montować katalogi domowe z udziału NFS systemu Windows (Server 2008) przy użyciu protokołu Kerberos. Udział montuje się (z użytkownikiem i grupą nikt), jeśli uwierzytelnianie jest wyłączone. Jednak jeśli -o sec=krb5flaga zostanie przekazana, dostanę mount.nfs: permission denied.

Jako root kinitotrzymałem bilet i klistpowiedział mi, że jest to ważny bilet. Błąd w Google nie dawał wiele, ponieważ wydaje się, że jest to wszystko jedno. W żadnym z dzienników, w których zajrzałem, nie znaleziono nic użytecznego. Dostęp do katalogu głównego jest ustawiony na dozwolony dla udziału Windows.

Ze względu na udostępnianie z systemu Windows wiele zasobów mówiących o zmianie ustawień serwera nie stosuje się bezpośrednio.

Jakieś pomysły na to, żeby to zadziałało?

Rzeczą, która mnie złapała - i wygląda na to, że masz problem - jest to, że root nie używa ... niczego, co dostajesz od kinit.

Korzysta z pliku /etc/krb5.keytab, z którym można wyświetlić listę klist -kt. W zależności od posiadanej wersji systemu operacyjnego potrzebuje ona nazwy głównej usługi HOST lub - w przypadku starszych wersji - nazwy głównej usługi nfs.

net ads joini net ads keytab createzrobi pierwszą część - tworzenie pliku kluczy hosta. W przypadku RHEL 5 jestem prawie pewien, że musisz utworzyć Principal usługi nfs na swoim kliencie, aby umożliwić mu dostęp do zasobu NFS. Zakładam, że to samo dotyczy Centos 5.6, ale nie jestem w 100% pewien. Nie mogę dać ci instrukcji z góry mojej głowy - spojrzę i zobaczę, czy mogę znaleźć więcej szczegółów. (Zrobiłem to i na pewno działa w ten sposób na RHEL, ale już wystarczająco dawno temu, gdybym zacytował instrukcje, pomyliłbym się).

Możesz rozwiązać problem, odpalając rpc.gssd -f -vvv

OK, po kilku badaniach znalazłem ten artykuł, który wyjaśnia, jak osiągnąć to, czego szukasz za pomocą klienta Solaris. Patrząc na część tej innej dokumentacji dla klienta, może uda Ci się sprawić, żeby całość działała ...

Najwyraźniej z tego, co widziałem po rozglądaniu się, uwierzytelnianie NFS3 pod Linuksem wobec Kerberos powinno być możliwe, w przeciwieństwie do tego, co myślałem; jednak informacje są niewiarygodnie rzadkie.

W najgorszym przypadku, co uniemożliwia ci użycie CIFS? Po tym, jak jest dość dobrze obsługiwany, a dokumentacja jest obfita.