Configuration de l'authentification Kerberos

Activation de l'authentification Kerberos pour une cible de montage

• Console
• CLI
• API

• 1. Ouvrez le menu de navigation et cliquez sur Stockage. Sous File Storage, cliquez sur Cibles de montage.
  2. Dans la section Portée de la liste, sous Compartiment, sélectionnez un compartiment.
  3. Recherchez la cible de montage souhaitée, cliquez sur le menu Actions (), puis sur Afficher les détails.
  4. Cliquez sur l'onglet NFS pour afficher ou modifier les paramètres NFS existants pour la cible de montage.
  5. En regard de Kerberos, cliquez sur Gérer.

  6. Dans la fenêtre Manage Kerberos, fournissez les détails suivants :

     • Domaine Kerberos : entrez le domaine Kerberos que cette cible de montage joint.
     • Dans la section d'informations Keytab, indiquez les détails suivants :
       • Sélectionnez le coffre contenant la clé secrète keytab à utiliser.
       • Sélectionnez la clé secrète keytab.
       • Sélectionnez la version secrète keytab en cours et la version secrète keytab de sauvegarde.
       Attention
       
       Veillez à sauvegarder vos coffres et clés. Si un coffre et une clé sont supprimés, vous ne pouvez plus décrypter les ressources ou les données cryptées par la clé. Pour plus d'informations, reportez-vous à Sauvegarde et restauration de coffres et de clés.

  7. Cliquez sur Validate keytab avant d'activer Kerberos pour inspecter le contenu du keytab.

     Attention
     
     Un keytab mal configuré peut entraîner la perte de l'accès des clients NFS aux systèmes de fichiers.
  8. Activer Kerberos : activez cette option pour utiliser Kerberos. Pour plus d'informations, reportez-vous à la section Using Kerberos Authentication.
  9. Cliquez sur Enregistrer.

• Utilisez la commande oci fs mount-target create avec les options --kerberos, --idmap-type et --ldap-idmap pour créer une cible de montage et fournir les détails Kerberos et LDAP.

  oci fs mount-target create --availability-domain <availability_domain> --compartment-id <compartment_id> --subnet-id <subnet_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  Utilisez la commande oci fs mount-target update avec les options --kerberos, --idmap-type et --ldap-idmap pour mettre à jour une cible de montage existante avec les détails Kerberos et LDAP.

  oci fs mount-target update --mount-target-id <mount_target_id> --kerberos <file://krb.json> --ldap-idmap <file://ldap.json>

  Voici un exemple de fichier krb.json :

  {
    "currentKeyTabSecretVersion": 1,
    "isKerberosEnabled": true,
    "kerberosRealm": "EXAMPLE.COM",
    "keyTabSecretId": "ocid1.vaultsecret.oc1.eu-frankfurt-1.exampleuniqueID"
  }

  Voici un exemple de fichier ldap.json :

  {
    "cacheLifetimeSeconds": 300,
    "cacheRefreshIntervalSeconds": 300,
    "groupSearchBase": "cn=accounts,dc=example,dc=com",
    "negativeCacheLifetimeSeconds": 300,
    "outboundConnector1Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "outboundConnector2Id": "ocid1.outboundconnector.oc1.exampleuniqueID",
    "userSearchBase": "cn=accounts,dc=example,dc=com",
    "schemaType": "RFC2307"
  }

  Utilisez la commande oci fs mount-target validate-key-tabs pour tester le keytab Kerberos que le connecteur sortant associé à la cible de montage utilise.

  oci fs mount-target validate-key-tabs --mount-target-id <mount_target_id>

  Afin d'obtenir la liste complète des paramètres et des valeurs pour les commandes d'interface de ligne de commande, reportez-vous à Référence de commande d'CLI.

• Utilisez CreateMountTarget ou UpdateMountTarget avec les options kerberos, idMapType et ldapIdmap pour créer ou mettre à jour une cible de montage avec les détails LDAP et Kerberos.

  Utilisez ValidateKeyTabs pour valider le keytab Kerberos associé à la cible de montage.

  Pour plus d'informations sur l'utilisation de l'API et la signature des demandes, reportez-vous à la documentation relative à l'API REST et à Informations d'identification de sécurité. Pour plus d'informations sur les kits SDK, reportez-vous à Kits SDK et interface de ligne de commande.