Как настроить систему единого входа на базе Kerberos для устройств с ChromeOS

Срок действия билетов на устройстве составляет 1 день, однако сервер Active Directory по умолчанию ограничивает его 10 часами. Информацию о том, как изменить это значение, можно найти в разделе о настройке способа получения билетов. Билеты можно обновлять автоматически, не указывая повторно имя пользователя и пароль, в течение времени, заданного с помощью параметра renew_lifetime. Срок действия билетов также можно настроить на устройствах с ChromeOS. Он будет ограничен значением, заданным на сервере Active Directory, как указано в разделе о настройке способа получения билетов. На устройствах с ChromeOS значение параметра renew_lifetime по умолчанию равно 0. Это значит, что билеты не обновляются автоматически. Если срок действия билета истек и его нельзя обновить автоматически, пользователь увидит сообщение о том, что билет нужно обновить вручную. Если срок действия активного билета истек, аутентификация Kerberos не будет работать до тех пор, пока пользователь не обновит билет.

1. Войдите в аккаунт на управляемом устройстве с ChromeOS.
2. Нажмите на время в правом нижнем углу экрана.
3. Нажмите на значок "Настройки" .
4. В разделе Kerberos нажмите Билеты Kerberos.
5. Найдите билет, который вы хотите обновить.
6. Справа нажмите на значок "Ещё" Обновить сейчас.
7. Введите свои имя пользователя и пароль Active Directory.
   Примечание. ChromeOS поддерживает только запись user@domain. Запись domain/user не поддерживается.
8. Чтобы билет обновлялся автоматически, установите флажок Запомнить пароль.
9. Вы можете внести изменения в файл конфигурации.
   1. Выберите Дополнительные.
   2. Измените значения параметров Kerberos, например срок действия билета, тип шифрования и сопоставление домена с областью. Подробнее о настройке способа получения билетов…
   3. Нажмите Сохранить.
10. Нажмите Обновить.

Дополнительная информация

• Политика автоматического добавления билетов при входе пользователя работает следующим образом:
  • Пароль для входа используется в качестве пароля Active Directory.
  • Если пользователь входит без пароля, например с помощью PIN-кода или отпечатка пальца, билет не создается автоматически. Пользователю потребуется обновить билет вручную, указав пароль Active Directory на странице настроек.
  • При блокировке и разблокировке устройства билет не обновляется.
  • При обновлении билетов, созданных автоматически с помощью политики, пароли не сохраняются. В этом случае пользователю нужно будет ввести пароль для входа.
• Устройства с ChromeOS пытаются обновлять билеты с сохраненным паролем автоматически. Это могут быть пароли для входа, используемые для билетов, созданных политикой, или сохраненные пароли для созданных вручную билетов.
• Иногда обновить билеты автоматически не удается из-за сбоя при запланированном обновлении, например, если устройство находится в спящем режиме или возникли проблемы с сетью. В таком случае пользователям нужно обновить билет на странице настроек или выйти и снова войти для получения нового билета, если этого требует политика.

1. Войдите в аккаунт на управляемом устройстве с ChromeOS.
2. Нажмите на время в правом нижнем углу экрана.
3. Нажмите на значок "Настройки" .
4. В разделе "Пользователи" нажмите Билеты Kerberos.
5. Найдите билет, который хотите удалить.
6. В правой части экрана нажмите на значок "Ещё" Удалить с устройства.

Пользователи могут изменять конфигурацию Kerberos (файл krb5.conf), когда они добавляют билет или обновляют существующий. Код ChromeOS, который взаимодействует с Центром распространения ключей Kerberos, создан на базе библиотеки MIT Kerberos. Подробные сведения о конфигурации приведены в документации MIT Kerberos. ChromeOS поддерживает не все параметры конфигурации.

Список поддерживаемых параметров приведен ниже.

Раздел	Соответствие
[libdefaults]	canonicalize clockskew default_tgs_enctypes default_tkt_enctypes dns_canonicalize_hostname dns_lookup_kdc extra_addresses forwardable ignore_acceptor_hostname kdc_default_options kdc_timesync noaddresses permitted_enctypes preferred_preauth_types proxiable rdns renew_lifetime ticket_lifetime udp_preference_limit
[realms]	admin_server auth_to_local kdc kpasswd_server master_kdc
[domain_realm]	Любое значение
[capaths]	Любое значение

Пример. Запрос другого срока действия билета

[libdefaults]

        ticket_lifetime = 16h

В примере приведен запрос билета со сроком действия 16 часов. Срок действия может быть ограничен на стороне сервера. Значение по умолчанию – 10 часов.

Чтобы изменить ограничение, заданное на сервере:

1. Откройте консоль управления групповыми политиками.
2. Перейдите в раздел НастройкиПараметры безопасностиПолитики учетных записейПолитика Kerberos.
3. Измените значение политики Максимальный срок жизни билета пользователя.

Пример. Запрос другого срока действия продления билета

[libdefaults]

        renew_lifetime = 14d

В примере приведен запрос билета, срок действия которого можно продлить на 14 дней. Срок действия продления может быть ограничен на стороне сервера. Значение по умолчанию – 7 дней.

Чтобы изменить ограничение, заданное на сервере:

1. Откройте консоль управления групповыми политиками.
2. Перейдите в раздел НастройкиПараметры безопасностиПолитики учетных записейПолитика Kerberos.
3. Измените значение политики Максимальный срок жизни для возобновления билета пользователя.

Google по умолчанию принудительно применяет стойкое шифрование по алгоритму AES. Если вы видите сообщение об ошибке, связанной с типами шифрования, возможно, некоторые компоненты вашей серверной среды не поддерживают шифрование по алгоритму AES. Рекомендуем вам это исправить.

В противном случае можно удалить из конфигурации три строки с параметрами default_tgs_enctypes, default_tkt_enctypes и permitted_enctypes. В результате будут включены все типы шифрования, описанные в документации MIT Kerberos, кроме тех, которые отмечены как ненадежные. Изучите документацию и убедитесь, что риски, связанные с безопасностью, являются для вас приемлемыми. Некоторые типы шифрования больше не считаются надежными.

После того как вы убедитесь, что все типы шифрования работают, рекомендуем вам указать для параметров default_tgs_enctypes, default_tkt_enctypes и permitted_enctypes только надежные типы шифрования, чтобы минимизировать риски, связанные с безопасностью.

1. Убедитесь, что вы ввели правильное имя пользователя Kerberos.
   Имя пользователя Kerberos, [email protected], состоит из:
   • используемого при входе имени пользователя, также известного как sAMAccountName;
   • области Kerberos, которая, как правило, совпадает с доменным именем Windows.
2. Убедитесь, что сетевое подключение настроено правильно.
   Проверьте, может ли устройство с ChromeOS подключиться к серверу по стандартному порту Kerberos – 88.
3. Убедитесь, что настройки DNS заданы правильно.
   Для работы Kerberos необходимы определенные записи SRV, которые позволяют найти доменное имя DNS сервиса Kerberos. Например, если домен, в который выполняется вход (также называемый областью), имеет вид example.com, а доменное имя DNS единственного сервиса Kerberos имеет вид dc.example.com, нужно добавить следующие записи SRV:

Сервис	Протокол	Приоритет	Вес	Порт	Назначение (имя хоста)
_kerberos	_udp.dc._msdcs	0	100	88	dc.example.com
_kerberos	_tcp.dc._msdcs	0	100	88	dc.example.com
_kerberos	_udp	0	100	88	dc.example.com
_kerberos	_tcp	0	100	88	dc.example.com
_kerberos-master	_udp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_tcp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_udp	0	100	88	dc.example.com
_kerberos-master	_tcp	0	100	88	dc.example.com

Если вы не можете изменить настройки DNS, добавьте эти сопоставления в конфигурацию Kerberos.

Пример:

[realms]

        EXAMPLE.COM = {

            kdc = dc.example.com

        master_kdc = dc.example.com

}

Если у вас по-прежнему возникают проблемы с получением билетов Kerberos, соберите системные журналы. Также, если возможно, соберите журналы tcpdump или wireshark. Затем обратитесь в службу поддержки.