简介
Kerberos 是一种网络认证协议,主要用于特定的场景下,代替传统的token方式,以一种更繁琐,但更安全的方式来认证用户信息。它通过票据 (ticket) 机制,确保用户在网络中与服务之间进行加密通信,并且避免了密码在网络中传输。Kerberos 的设计目标是通过可信的第三方(即 Key Distribution Center, KDC)管理用户身份,提供单点登录 (SSO) 和安全的认证方式。
Kerberos认证机制
身份验证
相较于传统的输入账号密码返回token的方式,Kerberos提供了一个更加安全的机制:
首先,Kerberos的核心功能依赖于KDC服务器完成。需要通过验证客户端用户信息来保证数据安全的的服务,不在接收账号密码来验证客户端身份。而是由管理员手动将KDC密钥,复制到目标服务及客户端,目标服务和客户端在通过密钥文件向KDC服务器发送请求,请求票据。KDC服务器在完成用户身份验证时,会返回一个功能类似于token的信息,他被称作票据。客户端也可以通过数据密码来获取TGT,不过部分服务驱动不支持。
Kerberos第一次需要携带管理员配置的密钥来向KDC服务器请求授予票据(TGT)。在客户端获得了TGT后,会在次向票据授予服务器(TGS)发送请求,由TGS来验证TGT内部包含的用户信息,来返回当前用户权限内的目标服务器的验证票据。
TGS服务器是KDC服务器的一部分。
票据验证
Kerberos还会验证当前客户端的其他信息,来保证票据在传输过程中的安全性,包括:
- 票据授予票据 (TGT) 的验证:TGS在处理客户端请求时,会验证TGT的完整性,以及根据TGT内记录的用户信息,来分配对应的权限票据。
- 服务票据的验证:服务端在接收到客户端的请求时,会检查票据的正确性和过期时间,来完成对客户端的用户验证。
- 身份的双向验证(可选):Kerberos 支持双向身份验证,其实用对成加密的方式,客户端和服务器都会互相验证对方身份,防止其他中间者试图破解票据。
- 服务端根据票据信息进一步验证:票据中存储着Kerberos中保存的用户信息,目标服务器通过解密,可以根据获取到票据中的信息,进一步对用户权限进行控制
- 加密强度和协议验证:KDC 和客户端在认证过程中会协商使用的加密算法。Kerberos 支持多种加密算法(如 AES、DES 等),并会验证使用的加密强度是否符合安全要求。通常,系统管理员可以配置 KDC 只接受某些强度的加密算法。
- 重放攻击的防护:Kerberos 通过多个机制防止重放攻击,包括Kerberos客户端在请求头中添加时间戳密文,服务验证请求头的时间戳和当前服务器的时间差,是否在允许范围内。一个票据同时只能在一个回话使用,不能在两个会话中同时使用。票据中包含客户端的 IP 地址等网络信息,防止票据在其他设备上被仿造。
重放攻击是指攻击者利用已经发送的数据,在此向目标服务器发送,伪装自己为已经验证完成的客户端端身份。通过对时间戳加密,并且判断时间差,可以有效的防止这一攻击。
kerberos架构
kerberos内部通过领域来分割多个系统,当一个主题通过密钥获取TGT后,他可以通过这个TGT获取这个领域中,当前主题权限范围内的所有其他主体的票据(权限控制在acl_files配置的文件中修改,后面会说),不过他无法获取其他的领域的票据,因为多个领域之间的TGT是不互通的。
不过我们可以对多个领域之间进行单向信任或双向信任,比如说一个服务系统,想要利用另一个服务系统的功能,我们只需要把两个领域进行互相信任即可,这样两者的TGT就可以互通,在一个领域内通过密钥获取主体的TGT,可以在两个领域中随意获取所有主体的票据。
在一个领域中通过主体来区分多个服务,比如说我想讲Kafka集群和redis集群来增加认证机制,那么我就要在kerberos中来添加对应的两个主题。例如kafka/admin@EXAMPLE.com,redis/admin@EXAMPLE.com,这就是两个主题,其中第一个名字是角色,他决定了这个主体拥有了什么权限,而第二个名字是当前角色的实例,用于区分多个相同权限和领域的主体。
通过领域和主题,我们可以实现更加精细的客户端权限认证控制。整体架构如下:
Kerberos基本使用
1. 安装 Kerberos 服务
yum install krb5-server krb5-libs krb5-workstation
2. 配置 Kerberos 配置文件
修改
/etc/krb5.conf
文件来配置 Kerberos 服务。内容如下:
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
#默认领域:未指定领域的主体会默认指向这个领域
default_realm = EXAMPLE.COM
#Kerberos 默认的缓存票据存储位置
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
#配置领域的KDC服务器(kdc)地址,和KDC管理服务(admin_server)的地址
EXAMPLE.COM = {
#这里我们为了方便,直接使用了ip,管理其他服务时,一定要写成域名
kdc = 192.168.166.21
admin_server = 192.168.166.21
}
#可以配置多个领域
EXAMPLE2.COM = {
kdc = 192.168.166.21
admin_server = 192.168.166.21
}
[domain_realm]
#以.example.com结尾会匹配到这个领域
.example.com = EXAMPLE.COM
#精确匹配example.com
example.com = EXAMPLE.COM
3. 配置 KDC
KDC 的配置文件通常位于
/var/kerberos/krb5kdc/kdc.conf
。配置内容如下:
#KDC服务器全句默认配置
[kdcdefaults]
#kdc监听端口端口,默认值就是 88
kdc_ports = 88
#kdctcp连接端口
kdc_tcp_ports = 88
#配置领域局部配置
[realms]
EXAMPLE.COM = {
#kdc监听端口端口
kdc_port = 88
#票据的最大有效时间
max_life = 24h
#票据的最大可续展时间
max_renewable_life = 7d
#主密钥(Master Key)的存储文件
key_stash_file = /var/kerberos/krb5kdc/.k5.EXAMPLE.COM
#存储主体信息的数据库文件路径
database_name = /var/kerberos/krb5kdc/principal
#主密钥的加密类型。这里使用了 aes256-cts,即 256 位 AES 加密算法
master_key_type = aes256-cts
#管理员访问控制列表 (ACL) 文件的路径
acl_file = /var/kerberos/krb5kdc/kadm5.acl
#密码字典文件的路径
dict_file = /usr/share/dict/words
#keytab 文件路径
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
#支持的加密类型
supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
}
#可以配置多个领域
EXAMPLE2.COM = {
kdc_port = 88
max_life = 24h
max_renewable_life = 24
key_stash_file = /var/kerberos/krb5kdc/.k5.EXAMPLE2.COM
database_name = /var/kerberos/krb5kdc/2
master_key_type = aes256-cts
acl_file = /var/kerberos/krb5kdc/2.acl
dict_file = /usr/share/dict/2
admin_keytab = /var/kerberos/krb5kdc/2.keytab
supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
}
在如上配置中,出现了很多难以理解的概念,我在下面进行统一解释:
在 [kdcdefaults] 中的配置是默认配置,当 [realms] 内地领域配置没有明确指定的配置,就会采用默认配置替代。
票据续展允许用户在票据的初始有效期到期之前,通过续展来延长票据的有效期,而不必重新输入用户名和密码。和token刷新过期时间类似,不过最长时间不能超过max_renewable_life配置的最长可续展时间,我们的配置中配置的是7天,也就是7天一过便无法在进行续展。
主密钥是KDC服务器对自身数据库进行加密解密的密钥。
管理员访问控制列表文件指定了哪些用户或组可以进行 KDC 管理操作,如添加、删除 Kerberos 主体等。
密码字典使用来生成一切初始密码,以及检查密码强度使用的。
keytab文件包含了 KDC 管理服务的密钥。该文件用于远程管理 Kerberos 实例,通过
kadmin
工具进行管理操作。
4. 初始化 Kerberos 数据库
通过如下命令初始化数据库
kdb5_util create -s -r <领域名>
可以省略-r,用来初始化默认领域,结果如下:
通过-r指定领域,结果如下:
进入目标目录,可以看到数据库文件初始化成功,内容如下:
5. 设置管理员权限
上文中我们提到acl_file配置是指定管理员访问控制列表文件的文件路径,我们可以通过管理员访问控制列表文件来设置KDC管理服务用户的权限,不过在管理权限之前,我们必须设置一个拥有全部权限的管理员,这个文件的默认内容如下:
其中前面是匹配主体的匹配字符串,后面是权限,可以看到一切以admin为实例名的主体都可以获取*也就是全部的权限。我们也可以自定义规则。
6. 启动 Kerberos 服务
完成以上的配置我们就可以启动服务了,由于kerberos是为其他服务来添加认证服务的,其他服务依赖于kerberos服务本身,所以我们最好将其设置为开机自启,命令如下:
sudo systemctl start krb5kdc
sudo systemctl start kadmin
sudo systemctl enable krb5kdc
sudo systemctl enable kadmin
其中krb5kdc时KDC服务器,而kadmin则是管理服务
7. 添加管理员用户
我们之前配置了管理员访问控制列表文件的配置,并且启动了管理服务,那么现在就可以通过管理服务来添加管理员账号,命令如下:
#进入交互终端
kadmin.local
#添加管理员主体
addprinc admin/admin
结果如下:
8. 测试服务功能
首先通过kinit来获取票据
kinit admin/admin
通过klist查看票据
klist
成功后结果如下:
Kerberos集成Kafka服务
kerberos虽然已经搭建成功,并成功获取票据,可是他该如何和其他服务结合使用呢,这里我们以Kafka举例
1. 搭建kafka集群
Kafka集群搭建文章
2. 修改hosts文件
kerberos的主题匹配极度依赖于域名,所以我们一定要将所有的服务地址存到域名中来管理,即使是在同一台主机。
/etc/hosts
:
192.168.166.51 www.kdc.com
192.168.166.51 www.kadmin.com
192.168.166.51 www.kafka.com
3. 修改Kerberos领域配置
krb5.conf
是 Kerberos 客户端和 KDC(Key Distribution Center)都需要的配置文件,它用于定义 Kerberos 领域、KDC 地址、管理服务器地址以及 Kerberos 客户端如何与 KDC 进行交互。所以在kerberos服务的主机,以及客户端,Kafka服务的主机,都需要读取这个配置文件。不过我们是在一个主机上进行测试的,所以不用额外创建。
/etc/krb5.conf
:
# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/
[logging]
default = FILE:/var/log/krb5libs.log
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
default_realm = KAFKA.COM
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
KAFKA.COM = {
kdc = www.kdc.com
admin_server = www.kadmin.com
}
[domain_realm]
.kafka.com = KAFKA.COM
www.kafka.com = KAFKA.COM
kdc.conf
是 Kerberos KDC 服务器的配置文件,用于配置 KDC 服务的行为,例如票据的有效期、领域的策略、加密类型等。这个文件只需要在运行 KDC 服务 的机器上配置。
/var/kerberos/krb5kdc/kdc.conf
:
[kdcdefaults]
kdc_ports = 88
kdc_tcp_ports = 88
[realms]
KAFKA.COM = {
#kdc监听端口端口
kdc_port = 88
#票据的最大有效时间
max_life = 24h
#票据的最大可续展时间
max_renewable_life = 7d
#主密钥(Master Key)的存储文件
key_stash_file = /var/kerberos/krb5kdc/.k5.EXAMPLE.COM
#存储主体信息的数据库文件路径
database_name = /var/kerberos/krb5kdc/principal
#主密钥的加密类型。这里使用了 aes256-cts,即 256 位 AES 加密算法
master_key_type = aes256-cts
#管理员访问控制列表 (ACL) 文件的路径
acl_file = /var/kerberos/krb5kdc/kadm5.acl
#密码字典文件的路径
4. 初始化Kerberos领域的数据库
kdb5_util create -s -r KAFKA.COM
结果如下:
更改配置后要重新初始化一个新的仓库,不知道为什么,但是我更改配置后重启,断开服务器连接,各种方法都尝试了,都没有更改成功,重新初始化数据库后才成功。
5. 在kerberos中创建kafka服务的主体
#进入终端
kadmin.local
#创建主题,生成随机密钥
addprinc -randkey kafka/[email protected]
这个地方中间的实例一定要用域名,客户端在获取TGT后,再次获取票据时不会发送完整的主体名,而是只发送第一部分的服务名,第二部分是根据请求的域名来填充的。
成功结果如下
6. 导出密钥文件
#进入终端
kadmin.local
#导出密钥生成密钥文件
ktadd -k /var/kerberos/krb5kdc/kafka.keytab kafka/[email protected]
成功结果如下:
7. 启动Kerberos服务
sudo systemctl start krb5kdc
sudo systemctl start kadmin
#设置开机自启
sudo systemctl enable krb5kdc
sudo systemctl enable kadmin
8. 修改Kafka的配置文件
在
listeners
配置中启用 SASL_PLAINTEXT 或 SASL_SSL:
listeners=SASL_PLAINTEXT://:9092
inter.broker.listener.name=SASL_PLAINTEXT
配置 SASL 的 Kerberos 认证机制:
sasl.mechanism.inter.broker.protocol=GSSAPI
sasl.enabled.mechanisms=GSSAPI
为 Kerberos 认证指定相关的命令和参数:
kerberos.kinit.cmd=/usr/bin/kinit
kerberos.min.time.before.relogin=60000
9. 创建 Kafka Broker 的 JAAS 配置文件
KRaft 模式下,您依然需要为 Kafka Broker 配置 JAAS 文件,并将之前导出的密钥文件保存在keyTab配置项指定的目录。创建或修改 Kafka Broker 的 JAAS 文件,例如
kafka_server_jaas.conf
:
KafkaServer {
com.sun.security.auth.module.Krb5LoginModule required
useKeyTab=true
keyTab="/var/kerberos/krb5kdc/kafka.keytab"
storeKey=true
useTicketCache=false
principal="kafka/[email protected]"
#注意只有最后一行的结尾有分号
serviceName="kafka";
};
10. 将JAAS配置文件路径导入当前命令行的环境变量
java命令的启动参数,用于Kafka启动时能够寻找到
kafka_server_jaas.conf
文件的位置,我们也可以将这个参数直接放在Kafka的启动脚本第一行。
我的文件路径是
/etc/kafka/kafka_server_jaas.conf
,所以我的命令如下
exportKAFKA_OPTS="-Djava.security.auth.login.config=/etc/kafka/kafka_server_jaas.conf"
11. 获取TGT
通过kinit,指定密钥文件路径和主体名来获取TGT,命令如下
kinit -k -t /var/kerberos/krb5kdc/kafka.keytab kafka/www.kafka.com@REALM
通过klist可以查看我们的票据是否获取成功,结果如下:
可以看到还有过期时间,以及可续展时间。
12. 启动Kafka
正常启动,没什么好说的。
./bin/kafka-server-start.sh ./config/kraft/server.properties
13. 测试
1. 直接创建主题
当我们直接创建主题
./bin/kafka-topics.sh --create --topic test-topic --bootstrap-server 192.168.166.51:9092 --replication-factor 1 --partitions 1
得到结果如下:
可以看我们无法创建主题,可以证明此时Kafka已经没办法正常访问,现在我们需要将创建主题的命令也是用和Kafka服务一样的协议配置,并且携带票据,才能够访问。
2. 创建配置文件
创建配置文件
/kafka/config/kraft/client.properties
内容如下:
security.protocol=SASL_PLAINTEXT
sasl.mechanism=GSSAPI
sasl.kerberos.service.name=kafka
sasl.kerberos.service.name配置是配置服务名,客户端在向KDC请求票据时,KDC服务器会将客户端传递的服务名,拼接上客户端请求的域名,以及领域,组成一个主题,这样可以不仅可以区分客户端请求不同的服务,还能根据客户端请求域名的不同,查询不同的主题,分配给不同客户端不同的权限。
实际生产中,服务不应该和客户端使用同一个主体,应该每一种权限的客户端一个主体,服务自己一个主体,然后通过acl分配给客户端主体不同服务的权限,来达到让客户端可以访问服务的目的,还能对客户端进行权限控制。不过我们这里主要是测试功能,所以服务和客户端使用一个主体,方便一些。
3. 创建 客户端 的 JAAS 配置文件
和服务一样,客户端想要获取票据,叶需要创建一个JAAS配置文件
/etc/kafka/kafka_client_jaas.conf
,文件内容也和服务端的差不多,内容如下:
KafkaClient {
com.sun.security.auth.module.Krb5LoginModule required
useTicketCache=true
renewTicket=true
useKeyTab=true
keyTab="/var/kerberos/krb5kdc/kafka.keytab"
principal="kafka/[email protected]";
};
在测试过程中,客户端和服务器在一个主机中,并且又是同一个主体所以可以和服务器使用同一个密钥文件。配置相同路径(keyTab)即可。
4. 添加环境变量
和服务一样,不多说了
export KAFKA_OPTS="-Djava.security.auth.login.config=/etc/kafka/kafka_client_jaas.conf"
5. 获取TGT
和服务端一样,命令如下:
kinit -k -t /var/kerberos/krb5kdc/kafka.keytab kafka/www.kafka.com@REALM
6. 重新创建主题
重现创建主题,添加我们之间创建的配置文件,命令如下:
./bin/kafka-topics.sh --create --topic test-topic --bootstrap-server www.kafka.com:9092 --replication-factor 1 --partitions 1 --command-config ./config/kraft/client.properties
注意:这里一定要用域名,原因上面已经说了,会拼接这个域名,组成主体名
结果如下:
7. 验证主题是否创建成功
同样的,查询主题的命令也可以通过添加配置成功运行。命令如下:
./bin/kafka-topics.sh --list --bootstrap-server www.kafka.com:9092 --command-config ./config/kraft/client.properties
结果如下:
版权归原作者 不止会JS 所有, 如有侵权,请联系我们删除。