1 '\" te

     2 .\" Copyright (c) 2008, Sun Microsystems, Inc. All Rights Reserved

     3 .TH krb5envvar 5 "2008 年 2 月 13 日" "SunOS 5.12" "标准、环境和宏"

     4 .SH 名称

     5 krb5envvar \- Kerberos 环境变量

     6 .SH 描述

     7 .sp

     8 .LP

     9 Kerberos 机制提供了许多环境变量，可配置不同行为来满足应用程序的需求。Kerberos 机制中使用的环境变量包括：

    10 .sp

    11 .ne 2

    12 .mk

    13 .na

    14 \fB\fBKRB5_KTNAME\fR\fR

    15 .ad

    16 .sp .6

    17 .RS 4n

    18 由机制用于指定密钥表文件的位置。该变量可设置为以下值：

    19 .sp

    20 .in +2

    21 .nf

    22 [[\fI<kt type>\fR:]\fI<file name>\fR]

    23 .fi

    24 .in -2

    25 

    26 其中 \fI<kt type>\fR 可以为 \fBFILE\fR 或 \fBWRFILE\fR。\fBFILE\fR 表示读取操作；\fBWRFILE\fR 表示写入操作。\fI<file name>\fR 是 \fBkeytab\fR 文件的位置。

    27 .sp

    28 r

    29 .sp

    30 如果未定义 \fBKRB5_KTNAME\fR，缺省值为：

    31 .sp

    32 .in +2

    33 .nf

    34 FILE:/etc/krb5/krb5.keytab

    35 .fi

    36 .in -2

    37 

    38 \fBkeytab\fR 文件用于永久存储凭证并且通常用于服务守护进程。

    39 .sp

    40 指定 \fBFILE\fR 类型即假设对关联文件的后续操作可由调用进程读取。务必小心确保文件仅可供需要检索未加密密钥的主体集读取。

    41 .sp

    42 \fBWRFILE\fR 类型由 \fBkadmin\fR(1M) 命令使用。指定此类型可允许管理员指定要写入的替代 \fBkeytab\fR 文件，而无需对文件位置使用其他命令行参数。

    43 .RE

    44 

    45 .sp

    46 .ne 2

    47 .mk

    48 .na

    49 \fB\fBKRB5CCNAME\fR\fR

    50 .ad

    51 .sp .6

    52 .RS 4n

    53 由机制用于指定凭证高速缓存的位置。该变量可设置为以下值：

    54 .sp

    55 .in +2

    56 .nf

    57 [[\fI<cc type>\fR:]\fI<file name>\fR]

    58 .fi

    59 .in -2

    60 

    61 其中，\fI<cc type>\fR 可以是 \fBFILE\fR 或 \fBMEMORY\fR。\fI<file name>\fR 是主体的凭证高速缓存的位置。

    62 .sp

    63 如果未定义 \fBKRB5CCNAME\fR，缺省值为：

    64 .sp

    65 .in +2

    66 .nf

    67 FILE:/tmp/krb5cc_\fI<uid>\fR

    68 .fi

    69 .in -2

    70 

    71 其中，\fI<uid>\fR 是创建高速缓存文件的进程的用户 ID。

    72 .sp

    73 凭证高速缓存文件用于存储已授予主体的票证。

    74 .sp

    75 指定 \fBFILE\fR 类型即假设对关联文件的后续操作可由调用进程读取和写入。务必小心确保文件仅可供需要访问凭证的主体集访问。如果凭证文件位于其他用户拥有写入访问权的目录中，则需要设置该目录的 Sticky 位（请参见 \fBchmod\fR(1)）。

    76 .sp

    77 \fBMEMORY\fR 凭证高速缓存类型仅在特殊情况下使用，如为调用进程的生命周期创建临时高速缓存时。

    78 .RE

    79 

    80 .sp

    81 .ne 2

    82 .mk

    83 .na

    84 \fB\fBKRB5RCNAME\fR\fR

    85 .ad

    86 .sp .6

    87 .RS 4n

    88 由机制用于指定重放高速缓存的类型和位置。该变量可设置为以下值：

    89 .sp

    90 .in +2

    91 .nf

    92 [[\fI<rc type>\fR:]\fI<file name>\fR]

    93 .fi

    94 .in -2

    95 

    96 其中，\fI<rc type>\fR 可以是 \fBFILE\fR、\fBMEMORY\fR 或 \fBNONE\fR。\fI<file name>\fR 仅在指定重放高速缓存文件类型时相关。

    97 .sp

    98 如果未定义，缺省值为：

    99 .sp

   100 .in +2

   101 .nf

   102 FILE:/var/krb5/rcache/root/rc_\fI<service>\fR

   103 .fi

   104 .in -2

   105 

   106 \&...如果进程的所有者为 root，或：

   107 .sp

   108 .in +2

   109 .nf

   110 FILE:/var/krb5/rcache/rc_\fI<service>\fR

   111 .fi

   112 .in -2

   113 

   114 \&...如果进程的所有者为 root 以外的用户。\fI<service>\fR 是与重放高速缓存文件相关联的服务进程名称。

   115 .sp

   116 重放高速缓存由 Kerberos 用于检测验证数据的重放。这可防止在网络上捕捉验证消息的人员通过重新发送这些消息来针对服务器进行验证。

   117 .sp

   118 当指定 \fBFILE\fR 重放高速缓存类型时，必须小心防止其他用户删除重放高速缓存文件。请确保重放高速缓存路径中的每个目录仅可由重放高速缓存的所有者写入，或者其他人具有写入权限的重放高速缓存路径中每个目录上均已设置 Sticky 位 ("\fBt\fR")。

   119 .sp

   120 当指定 \fBMEMORY\fR 重放高速缓存类型时，您需要在性能与使用非持久性高速缓存产生的轻度安全风险之间进行权衡。系统重新引导期间发生以下状况即会产生风险：

   121 .RS +4

   122 .TP

   123 .ie t \(bu

   124 .el o

   125 从重新引导前上次写入重放高速缓存到 Kerberos 服务器应用程序运行时的持续时间少于 Kerberos 时钟相位差（请参见 \fBkrb5.conf\fR(4)）。

   126 .RE

   127 当指定 \fBNONE\fR 重放高速缓存时间时，您需要了解这将会禁用重放高速缓存及其所带来的全部安全性风险。这包括手册页的此部分中所述的全部风险。

   128 .sp

   129 在此状况下，服务器应用程序可接受重放 Kerberos 验证数据（直到上次写入时与时钟相位差之间的差异为止）。通常，这是一小段时间而已。如果服务器应用程序开始接受连接所花的时间比时钟相位差长，则没有重放风险。

   130 .sp

   131 如果重放高速缓存位于 swap 文件系统（如 \fB/tmp\fR 和 \fB/var/run\fR）中时使用 \fBFILE\fR 重放高速缓存类型，仍存在上述风险。

   132 .sp

   133 通过 \fBFILE\fR 类型的 \fBMEMORY\fR 重放高速缓存类型性能改进得益于无需磁盘 I/O。即使 \fBFILE\fR 重放高速缓存位于内存备份文件系统上仍是如此，如 swap（\fB/tmp\fR 和 \fB/var/run\fR）。

   134 .sp

   135 请注意，\fBMEMORY\fR 类型高速缓存是每进程高速缓存，因此必须谨慎使用这些类型的高速缓存。\fBMEMORY\fR 类型高速缓存可能产生问题的示例之一即是应用程序使用多个进程来建立安全上下文。在此情况下，内存重放高速缓存不会在进程中共享，从而使重放攻击成为可能。

   136 .RE

   137 

   138 .sp

   139 .ne 2

   140 .mk

   141 .na

   142 \fBKRB5_CONFIG\fR

   143 .ad

   144 .sp .6

   145 .RS 4n

   146 允许您更改 \fB/etc/krb5/krb5.conf\fR 文件的缺省位置，以使 Kerberos 库代码从 KRB5_CONFIG 指定的其他文件中读取配置参数。例如（使用 \fBksh\fR(1) 的 kinit）：

   147 .sp

   148 .in +2

   149 .nf

   150  KRB5_CONFIG=/var/tmp/krb5.conf kinit

   151 .fi

   152 .in -2

   153 

   154 .RE

   155 

   156 .SH 属性

   157 .sp

   158 .LP

   159 有关以下属性的说明，请参见 \fBattributes\fR(5)：

   160 .sp

   161 

   162 .sp

   163 .TS

   164 tab() box;

   165 cw(2.75i) |cw(2.75i) 

   166 lw(2.75i) |lw(2.75i) 

   167 .

   168 属性类型\fB\fR属性值\fB\fR

   169 _

   170 可用性system/security/kerberos-5

   171 _

   172 接口稳定性Uncommitted（未确定）

   173 .TE

   174 

   175 .SH 另请参见

   176 .sp

   177 .LP

   178 \fBchmod\fR(1)、\fBkinit\fR(1)、\fBklist\fR(1)、\fBksh\fR(1)、\fBkadmin\fR(1M)、\fBkadmind\fR(1M)、\fBkrb5.conf\fR(4)、\fBattributes\fR(5)、\fBkerberos\fR(5)