Schému do LDAP nahráme tak, že na LDAP serveri nainštalujeme balík krb5-kdc-ldap. Do príkazového riadka zadáme:

sudo apt-get install krb5-kdc-ldap 

Potom rozbalíme súbor kerberos.schema.gz:

sudo gzip -d /usr/share/doc/krb5-kdc-ldap/kerberos.schema.gz 
sudo cp /usr/share/doc/krb5-kdc-ldap/kerberos.schema /etc/ldap/schema/ 

Schému kerberos je potrebné pridať do stromu cn=config. Postup ako pridávať schému do slapd je vysvetlený  v časti “Konfigurácia”.

Najskôr nainštalujeme potrebné balíky:

sudo apt-get install krb5-kdc krb5-admin-server krb5-kdc-ldap

Potom otvoríme súbor /etc/krb5.conf a pridáme nasledujúce nastavenia do príslušnej časti súboru:

[libdefaults] 
        default_realm = NIECO.SK 
 
... 
 
[realms] 
        NIECO.SK = { 
                kdc = kdc01.nieco.sk 
                kdc = kdc02.nieco.sk 
                admin_server = kdc01.neico.sk 
                admin_server = kdc02.nieco.sk 
                default_domain = nieco.sk 
                database_module = openldap_ldapconf 
        } 
 
... 
 
[domain_realm] 
        .nieco.sk = NIECO.SK 
 
 
... 
 
[dbdefaults] 
        ldap_kerberos_container_dn = dc=nieco,dc=sk 
 
[dbmodules] 
        openldap_ldapconf = { 
                db_library = kldap 
                ldap_kdc_dn = "cn=admin,dc=nieco,dc=sk" 
 
                # this object needs to have read rights on 
                # the realm container, principal container and realm sub-trees 
                ldap_kadmind_dn = "cn=admin,dc=nieco,dc=sk" 
 
                # this object needs to have read and write rights on 
                # the realm container, principal container and realm sub-trees 
                ldap_service_password_file = /etc/krb5kdc/service.keyfile 
                ldap_servers = ldaps://ldap01.nieco.sk ldaps://ldap02.nieco.sk 
                ldap_conns_per_server = 5 
        } 

	Hodnoty nieco.sk, dc=nieco,dc=sk, cn=admin,dc=nieco,dc=sk a ldap01.nieco.sk zmeňte za hodnoty zodpovedajúce doméne, LDAP objektom a LDAP serveru, ktoré používate v sieti.

Ďalej použijeme nástroj kdb5_ldap_util a vytvoríme pôsobisko:

sudo kdb5_ldap_util -D  cn=admin,dc=nieco,dc=sk create -subtrees dc=nieco,dc=sk -r NIECO.SK -s -H ldap://ldap01.nieco.sk

Vytvoríme obtlačok hesla, ktorý bude potrebný na prístup k LDAP serveru. Toto heslo použijeme pre nastavenie ldap_kdc_dn a  ldap_kadmin_dn v súbore /etc/krb5.conf:

sudo kdb5_ldap_util -D  cn=admin,dc=nieco,dc=sk stashsrvpw -f /etc/krb5kdc/service.keyfile cn=admin,dc=nieco,dc=sk

Nakopírujeme certifikáty CA z LDAP serveru:

scp ldap01:/etc/ssl/certs/cacert.pem .
sudo cp cacert.pem /etc/ssl/certs

 a nastavíme ich použitie v súbore /etc/ldap/ldap.conf:

TLS_CACERT /etc/ssl/certs/cacert.pem

	Aby bolo možné pripojiť sa k LDAP serverom pomocou LDAPS, je potrebné certifikáty prekopírovať aj na sekundárne KDC.

Najskôr nainštalujeme potrebné balíky. V príkazovom riadku zadáme:

sudo apt-get install krb5-kdc krb5-admin-server krb5-kdc-ldap

Potom otvoríme súbor /etc/krb5.conf a nastavíme použitie LDAP databázy:

[libdefaults] 
        default_realm = NIECO.SK 
 
... 
 
[realms] 
        NIECO.SK = { 
                kdc = kdc01.nieco.sk 
                kdc = kdc02.nieco.sk 
                admin_server = kdc01.nieco.sk 
                admin_server = kdc02.nieco.sk 
                default_domain = nieco.sk 
                database_module = openldap_ldapconf 
        } 
 
... 
 
[domain_realm] 
        .nieco.sk = NIECO.SK 
 
... 
 
[dbdefaults] 
        ldap_kerberos_container_dn = dc=nieco,dc=sk 
 
[dbmodules] 
        openldap_ldapconf = { 
                db_library = kldap 
                ldap_kdc_dn = "cn=admin,dc=nieco,dc=sk" 
 
                # this object needs to have read rights on 
                # the realm container, principal container and realm sub-trees 
                ldap_kadmind_dn = "cn=admin,dc=nieco,dc=sk" 
 
                # this object needs to have read and write rights on 
                # the realm container, principal container and realm sub-trees 
                ldap_service_password_file = /etc/krb5kdc/service.keyfile 
                ldap_servers = ldaps://ldap01.nieco.sk ldaps://ldap02.nieco.sk 
                ldap_conns_per_server = 5 
        } 

Vytvoríme obtlačok LDAP hesla:

sudo kdb5_ldap_util -D  cn=admin,dc=nieco,dc=sk stashsrvpw -f /etc/krb5kdc/service.keyfile cn=admin,dc=nieco,dc=sk

Teraz na primárnom KDC skopírujeme Master kľúč /etc/krb5kdc/.k5.NIECO.SK na sekundárny KDC. Súbor je kvôli bezpečnosti potrebné kopírovať cez zašifrované spojenie akým je napríklad scp alebo prostredníctvom fyzického média.

sudo scp /etc/krb5kdc/.k5.NIECO.SK stefan@kdc02.nieco.sk:~
sudo mv .k5.NIECO.SL /etc/krb5kdc/

	Rovnako nahraďte NIECO.SK pôsobiskom, ktoré používate.

Nakoniec spustíme démon krb5-kdc:

sudo /etc/init.d/krb5-kdc start

Niektoré ďalšie podrebnejšie informácie sa nachádzajú na stránke Kerberos Admin Guide.

Viac informácií o kdb5_ldap_util je na stránkach Section 5.6 a  kdb5_ldap_util man page.

Ostatné užitočné zdroje nájdete na stránke krb5.conf man page.

Informácie sa dajú nájsť aj na wiki stránke Ubuntu Kerberos and LDAP.