☰

nfs/ プリンシパルを kinit できません。

tag-icon • tag-icon debian kerberos nfsv4 samba4
nfs/ プリンシパルを kinit できません。

NFSv4共有をマウントしようとしていますが、mountコマンドは共有をマウントする権限を取得できません。

共有をマウントしようとすると、次のメッセージが表示されます。

mount.nfs4: mount(2): Permission denied

以下を使用してnfsサブジェクトを初期化しようとすると、次のものが返されます。
kinit -k -t /etc/krb5.keytab nfs/[email protected]

kinit: Client 'nfs/[email protected]' not found in Kerberos database while getting initial credentials

サービスを構成してテストしようとした方法の詳細は次のとおりです。すべてのホストはDebian 12です。

NFSサーバーから：
/etc/hostsファイル

127.0.0.1   localhost
172.17.0.10 nfshost.domain.com nfshost
...

/etc/krb5.conf文書

[libdefaults]
  dns_lookup_realm = false
  dns_lookup_kdc = false
  default_realm = DOMAIN.COM
  default_keytab_name = FILE:/etc/krb5.keytab
  default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96
  default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96
  allow_weak_crypto = 0

[realms]
  DOMAIN.COM = {
  kdc = 172.17.0.20
  master_kdc = 172.17.0.20
  default_domain = domain.com
  admin_server = 172.17.0.20
  }

[domain_realm]
domain.com = DOMAIN.COM
.domain.com = DOMAIN.COM

/etc/exports文書

/exports         172.17.0.0/16(rw,sync,fsid=0,no_subtree_check,crossmnt,sec=krb5)
/exports/users   172.17.0.0/16(rw,sync,no_subtree_check,sec=krb5)

/etc/idmapd.conf文書

[General]
Verbosity = 0
Domain = domain.com

[Mapping]
Nobody-User = nobody
Nobody-Group = nogroup

[Translation]
Method = nsswitch

/etc/default/nfs-kernel-server文書

RPCNFSDCOUNT=8
RPCNFSDPRIORITY=0
RPCMOUNTDOPTS="--manage-gids"
NEED_SVCGSSD="yes"
RPCSVCGSSDOPTS=""

/etc/default/nfs-common文書

NEED_STATD=no
STATDOPTS=
NEED_IDMAPD=yes
NEED_GSSD=yes

NFSサーバーエントリをドメイン（AD Samba）に追加するコマンド

# kdestroy
# kinit administrator
# msktutil delete --computer-name NFSHOST --server 172.17.0.20
# msktutil -c -b "CN=COMPUTERS" -s HOST/nfshost.domain.com -h nfshost -k /etc/krb5.keytab --computer-name NFSHOST --server 172.17.0.20 --dont-expire-password --verbose --enctypes 28

AD（Sambaは172.17.0.20にあります）：
追加されたNFSサーバーホストに次のSPNを追加します。

# samba-tool spn add nfs/nfshost NFSHOST$
# samba-tool spn add nfs/nfshost.domain.com NFSHOST$
# samba-tool spn add RestrictedKrbHost/nfshost NFSHOST$
# samba-tool spn add RestrictedKrbHost/nfshost.domain.com NFSHOST$

次のコマンドを使用して、NFSサーバーのホストエントリを確認しますsamba-tool computer show nfshost。

dn: CN=NFSHOST,CN=Computers,DC=domain,DC=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: user
objectClass: computer
cn: NFSHOST
instanceType: 4
whenCreated: 20230901104446.0Z
uSNCreated: 202585
name: NFSHOST
objectGUID: 305c91e0-328d-47f4-ab30-7a4c0ea951dc
badPwdCount: 0
codePage: 0
countryCode: 0
badPasswordTime: 0
lastLogoff: 0
lastLogon: 0
pwdLastSet: 133380386868301530
primaryGroupID: 515
objectSid: S-1-5-21-2898533208-202842514-1397044296-107323
accountExpires: 9223372036854775807
logonCount: 0
sAMAccountName: NFSHOST$
sAMAccountType: 805306369
objectCategory: CN=Computer,CN=Schema,CN=Configuration,DC=domain,DC=com
isCriticalSystemObject: FALSE
dNSHostName: nfshost.domain.com
msDS-SupportedEncryptionTypes: 28
userAccountControl: 69632
servicePrincipalName: HOST/nfshost.domain.com
servicePrincipalName: host/nfshost
servicePrincipalName: nfs/nfshost
servicePrincipalName: nfs/nfshost.domain.com
servicePrincipalName: RestrictedKrbHost/nfshost
servicePrincipalName: RestrictedKrbHost/nfshost.domain.com
whenChanged: 20230901104626.0Z
uSNChanged: 202594
distinguishedName: CN=NFSHOST,CN=Computers,DC=domain,DC=com

NFSホストキータブを作成します。

# samba-tool domain exportkeytab --principal=nfs/nfshost.domain.com keytab.NFSHOST-nfs

NFSサーバーに戻る：
ADで生成されたキータブを検索します。

scp [email protected]:/root/keytab.NFSHOST-nfs .

/etc/krb5.keytabファイルにマージします。

# ktutil
   rkt /etc/krb5.keytab
   rkt /root/keytab.NFSHOST-nfs
   wkt /etc/krb5.keytab
   quit

# chmod 600 /etc/krb5.keytab
# chown root:root /etc/krb5.keytab

SPNがあることを確認してください。
klist -kte /etc/krb5.keytab | grep nfs/nfshost.domain.com以下を返します。

1 01/09/2023 07:59:33 nfs/[email protected] (aes256-cts-hmac-sha1-96) 
1 01/09/2023 07:59:33 nfs/[email protected] (aes128-cts-hmac-sha1-96)

一部のサービスの再起動

exportfs -rav
/etc/init.d/nfs-kernel-server restart
/etc/init.d/nfs-common restart
mount --bind /home/users /exports/users

ADとNFSサーバー間のクロックが同期されます。
ホストは同じ VLAN にあり、両者とも誰にもファイアウォールはありません。

テスト：

共有（まだNFSサーバー上にある）をマウントしようとすると、
mount -t nfs4 nfshost.domain.com:/users /mnt -o sec=krb5 -v次のものが返されます。

mount.nfs4: timeout set for Fri Sep  1 08:03:22 2023
mount.nfs4: trying text-based options 'sec=krb5,vers=4,addr=172.17.0.10,clientaddr=172.17.0.10'
mount.nfs4: mount(2): Permission denied
mount.nfs4: access denied by server while mounting nfshost.domain.com:/users

kinit nfsプリンシパル：リターンを試してください：
kinit -k -t /etc/krb5.keytab nfs/[email protected]

kinit: Client 'nfs/[email protected]' not found in Kerberos database while getting initial credentials

/var/log/syslogファイルは次のとおりです。

Sep  1 08:03:25 nfshost rpc.gssd[111218]: ERROR: No credentials found for connection to server nfshost.domain.com

この NFS サービスを正しく構成するには、何が不足していますか?

答え1

わかると、/etc/krb5.keytabファイルに問題があり、実行せずにファイルを削除し、残りのプロセスを実行したkdestroy結果、マウントに成功しました。

ファイルが大きすぎるようです（+2M）キータブとktutil。

私はそれがファイルkdestroyをクリーンアップすることを誤って考えましたが、で説明されているように、彼の/etc/krb5.keytab機能man 1 kdestroyは次のように
なります。隠れ家それらを隔離してください。 」

関連情報