Настройка аутентификации по протоколу GSSAPI

Протокол безопасной аутентификации GSSAPI позволяет упростить использование и настройку механизма аутентификации Kerberos за счёт стандартизированного API.

Настройка PostgreSQL для работы с GSSAPI

Для аутентификации СУБД PostgreSQL по протоколу GSSAPI:

  1. Скопируйте keytab-файл flybidb.keytab в папку /etc/postgresql/13/main/postgresql.conf и добавьте в него строки:

krb_server_keyfile=/etc/postgresql/13/main/flybidb.keytab

krb_caseins_users = on

  1. Установите метод аутентификации gss. Для этого:

    1. Добавьте в файл /etc/postgresql/13/main/pg_ident.conf строку с указанием нужного количества уровней домена. Уровни отделяются через обратный слеш «\», например:

dev /^(.*)@FLY\.RU$ \1

    1. Добавьте в файл /etc/postgresql/13/main/pg_hba.conf строку:

host all all 0.0.0.0/0 gss include_realm=1,map=dev,krb_realm=<ваш домен>

Примечание. Строку требуется добавить после строки «# IPv4 local connections:». Если планируется использовать методы md5, например, для сервисных пользователей, то их требуется добавлять перед методом gss.

Для подробного описания настройки GSSAPI для СУБД PostgreSQL обратитесь к документации на PostgreSQL.

Проверка работы gss с PostgreSQL

  1. Перезапустите службу postgres с помощью команды:

sudo systemctl restart postgresql

В результате для СУБД PostgreSQL будет настроена аутентификация по протоколу GSSAPI.

Настройка браузеров для работы с GSSAPI

Для настройки работы браузера Mozilla Firefox с механизмом GSSAPI.

  1. Запустите Mozilla Firefox.

  2. Введите «about:config» в адресной строке.

  3. Введите «network.n» в поле «Фильтр» на открывшейся странице. Отобразится список параметров, в наименовании которых встречается введённая строка.

  4. Дважды нажмите на параметр network.negotiate-auth.trusted-uris и введите через запятую список URL-адресов доверенных доменов. В параметре перечислены сайты, которые могут участвовать в идентификации GSSAPI при работе с данным браузером.

  5. Нажмите кнопку «OK».

  6. Если тестируемое приложение использует дополнительную функцию Kerberos под названием «Делегирование учётных данных», то дважды нажмите на параметр network.negotiate-auth.delegation-uris и введите через запятую список URL-адресов доверенных доменов. В параметре перечислены сайты, которым браузер может делегировать идентификацию пользователей:

В результате в браузере Mozilla Firefox будет настроена аутентификация по протоколу GSSAPI.

Для настройки работы браузера Google Chrome с механизмом GSSAPI:

  1. Создайте в ветке системного реестра [HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome] строковые параметры AuthNegotiateDelegateAllowlist и AuthServerAllowlist.

  2. Укажите в созданных параметрах сервер приложения.

В результате в браузере Google Chrome будет настроена аутентификация по протоколу GSSAPI.

См. также:

Настройка интегрированной доменной аутентификации