带有 OpenLDAP 后端的 Kerberos：密码同步方法

Question

基本设置是 OpenLDAP 服务器。提供用户并设置密码。现在我们决定添加一个 MIT KDC 以便能够使用 Kerberos。我们将 MIT KDC 配置为使用 LDAP 作为 KDC 数据库的后端。我们创建主体并使用以下命令将它们链接到现有 LDAP 用户：

addprinc -x dn=cn=test.user,ou=people,dc=example,dc=com test.user

问题是这会提示输入新密码，在获取 Kerberos 票证和执行 LDAP 绑定时会导致两个不同的密码。

有没有办法同步这些密码？即，当用户使用 kpasswd 更改密码时，我也希望 LDAP 密码也更改。当用户使用 ldappasswd 更改密码时，反之亦然。

有人有这方面的指南吗？我似乎无法在互联网上找到任何东西。

Answer 1

您在寻找smbkrb5pwd覆盖吗？

如果您处于初始阶段，我会评估 Heimdal Kerberos，它将 krb 数据直接存储在用户数据条目中，并且存在官方且受充分支持的同步覆盖：smbk5pwd。