Ubuntu 18.04系统允许基于GSSAPI的用户认证登录

本文目录导读：

1. <"http://#id1" title="安装必要的软件包" "">安装必要的软件包
2. <"http://#id2" title="配置Kerberos" "">配置Kerberos
3. <"http://#id3" title="配置PAM（Pluggable Authentication Modules）" "">配置PAM（Pluggable Authentication Modules）
4. <"http://#id4" title="重启服务" "">重启服务

在Ubuntu 18.04系统中，GSSAPI（Generic Security Services Application Programming Interface）是一种用于安全身份验证的接口，它支持Kerberos、NTLM等协议，通过配置GSSAPI，我们可以实现基于GSSAPI的用户认证登录，从而提高系统的安全性。

安装必要的软件包

我们需要安装一些必要的软件包，打开终端，运行以下命令：

sudo apt update
sudo apt install krb5-user

配置Kerberos

Kerberos是GSSAPI的一种实现，用于提供基于Kerberos协议的身份验证，我们需要配置Kerberos服务器和客户端。

1、配置Kerberos服务器

如果你已经有一个Kerberos服务器，可以跳过这一步，否则，你需要安装Kerberos服务器，在终端中运行以下命令：

sudo apt install krb5-kdc

安装完成后，编辑Kerberos配置文件/etc/krb5.conf，根据你的Kerberos服务器进行相应的配置。

2、配置Kerberos客户端

在终端中运行以下命令：

sudo apt install krb5-multidev

这将安装Kerberos客户端软件包，接下来，我们需要编辑客户端配置文件/etc/krb5.conf，根据你的Kerberos服务器进行相应的配置。

配置PAM（Pluggable Authentication Modules）

PAM是Linux中用于身份验证的模块，通过配置PAM可以实现基于GSSAPI的用户认证登录，我们需要编辑PAM配置文件/etc/pam.d/common-auth，使用文本编辑器打开该文件：

sudo nano /etc/pam.d/common-auth

在文件中找到以下行：

auth    required    pam_env.so readenv=1 enforce_init_file_security=1
auth    required    pam_faillock.so preauth silent audit deny=3 unlock_time=604800 fail_interval=900 attempt_lock=1
auth    sufficient  pam_krb5.so use_first_pass forwardable
auth    required    pam_deny.so

将其修改为以下内容：

auth    required    pam_env.so readenv=1 enforce_init_file_security=1
auth    required    pam_faillock.so preauth silent audit deny=3 unlock_time=604800 fail_interval=900 attempt_lock=1 gssapi required forwardable
auth    required    pam_deny.so

这将启用基于GSSAPI的身份验证，并要求用户使用Kerberos进行身份验证，保存并关闭文件。

重启服务

我们需要重启相关的服务以使配置生效，在终端中运行以下命令：

sudo systemctl restart sshd
sudo systemctl restart nscd

这将重启SSH和NSCD服务，使基于GSSAPI的用户认证登录生效，现在，用户可以使用GSSAPI进行身份验证登录到Ubuntu 18.04系统。