Kerberos ist ein vom Massachusetts Institute of Technology (MIT) entwickeltes Netzwerkprotokollauthentifizierungsprotokoll. Es wird verwendet, um Benutzer zu authentifizieren und ihnen Zugriff auf Ressourcen im Netzwerk zu gewähren.
Windows Server 2008 R2 unterstützt das Kerberos-Protokoll und ermöglicht es Ihnen, es für die Sicherheit Ihres Netzwerks zu konfigurieren. In diesem Handbuch werden wir uns ausführlich mit der Konfiguration von Kerberos auf einem Windows Server 2008 R2-Server befassen.
Bevor Sie mit der Einrichtung beginnen, ist es wichtig, die grundlegenden Konzepte von Kerberos wie Prinzipien, Schlüssel, Tickets und Tickets zu verstehen. Prinzipien sind die Akteure, die eine Authentifizierung benötigen, Schlüssel sind das geheime Material, das zur Authentifizierung von Prinzipien verwendet wird, Tickets sind Informationen, die nach einer erfolgreichen Authentifizierung ausgegeben werden, und Tickets sind Zeitstempel, die die Authentifizierung bestätigen.
In diesem Handbuch zeigen wir Ihnen, wie Sie Kerberos-Dienste erstellen und konfigurieren, wie Sie Clients für die Verwendung von Kerberos konfigurieren und wie Sie überprüfen können, ob Kerberos im Netzwerk funktioniert. Wir werden auch einige häufige Probleme und Methoden untersuchen, um sie zu lösen.
Installieren von Windows Server 2008 R2
Um Windows Server 2008 R2 auf einem Computer zu installieren, müssen Sie eine bestimmte Abfolge von Schritten befolgen. Hier ist eine Schritt-für-Schritt-Anleitung:
Schritt 1: Legen Sie die Windows Server 2008 R2-Installations-DVD in das DVD-Laufwerk des Computers ein, oder schließen Sie das USB-Laufwerk mit dem Installationsimage an. Starten Sie dann den Computer neu.
Schritt 2: Drücken Sie beim Starten des Computers eine beliebige Taste, um vom Installationsmedium zu booten.
Schritt 3: Wählen Sie die Sprache, das Zeitformat und die einleitende Methode im Abschnitt "Setup-Optionen" aus und klicken Sie auf Weiter.
Schritt 4: Klicken Sie auf die Schaltfläche Jetzt installieren, um den Installationsprozess zu starten.
Schritt 5: Lesen und akzeptieren Sie die Bedingungen der Lizenzvereinbarung. Klicken Sie dann auf die Schaltfläche Weiter.
Schritt 6: Wählen Sie den Installationstyp aus: "Benutzerdefinierte Installation", um eine Neuinstallation durchzuführen, oder "Upgrade", um ein vorhandenes Betriebssystem zu aktualisieren. Klicken Sie dann auf die Schaltfläche Weiter.
Schritt 7: Wählen Sie die Partition des Laufwerks aus, auf dem das Betriebssystem installiert werden soll. Klicken Sie dann auf die Schaltfläche Weiter.
Schritt 8: Warten Sie, bis der Installationsvorgang abgeschlossen ist. Nach Abschluss wird der Computer automatisch neu gestartet.
Schritt 9: Geben Sie den Namen und das Kennwort für das Administratorkonto ein und klicken Sie auf Weiter.
Schritt 10: Konfigurieren Sie die Netzwerkeinstellungen bei Bedarf und klicken Sie auf Weiter.
Schritt 11: Warten Sie, bis der Prozess abgeschlossen ist. Danach ist Ihr Server einsatzbereit.
Wenn Sie diese Anleitung befolgen, können Sie Windows Server 2008 R2 erfolgreich installieren und mit der Kerberos-Konfiguration beginnen.
Installieren von Active Directory
1. Öffnen Sie den Server-Manager, indem Sie auf das entsprechende Symbol in der Taskleiste oder im Startmenü klicken.
2. Wählen Sie im Fenster "Server-Manager" rechts im Fenster "Rollen hinzufügen" die Option "Rollen hinzufügen" aus.
3. Wählen Sie im Rolleninstallations-Assistenten den Server aus, auf dem die Rolle installiert werden soll, und klicken Sie auf die Schaltfläche "Weiter".
4. Wählen Sie in der Liste der verfügbaren Rollen die Option "Active Directory Domain Services" aus, und klicken Sie auf "Weiter".
5. Lesen Sie die Beschreibung der Rolle, und klicken Sie auf "Weiter".
6. Wählen Sie im angezeigten Bestätigungsfenster die Option "Installieren" (Install) und klicken Sie auf die Schaltfläche "Weiter" (Next).
7. Warten Sie, bis der Installationsassistent die Installation von Active Directory abgeschlossen hat.
8. Nachdem die Installation von Active Directory abgeschlossen ist, fordert der Assistent Sie auf, mit der Konfiguration des Dienstes fortzufahren. Klicken Sie auf die Schaltfläche "Fertig stellen", um den Installationsassistenten abzuschließen.
Jetzt haben Sie Active Directory erfolgreich auf einem Windows Server 2008 R2-Server installiert. In den folgenden Abschnitten werden wir uns mit der Kerberos-Konfiguration und anderen wichtigen Aspekten der Verwendung von Active Directory befassen.
Konfigurieren des DNS-Servers
Damit Kerberos unter Windows Server 2008 R2 erfolgreich konfiguriert werden kann, muss der DNS-Server ordnungsgemäß konfiguriert sein. Der DNS-Server spielt eine wichtige Rolle bei der Identifizierung und Authentifizierung von Clients und Diensten, die das Kerberos-Protokoll verwenden.
Hier sind einige wichtige Schritte zum Konfigurieren des DNS-Servers:
1. Erstellen einer DNS-Zone:
Wechseln Sie zur Verwaltung des DNS-Servers und erstellen Sie eine neue DNS-Zone für die Domäne, in der Sie Kerberos konfigurieren möchten. Geben Sie den Zonennamen und den Zonentyp an (normalerweise wählen Sie die Zone der primären Domäne aus). Vergessen Sie nicht, die Option "Reverse-Lookup-Datei erstellen" auszuwählen.
2. Erstellen von Service-Datensätzen (SRV):
Damit Kerberos ordnungsgemäß funktioniert, müssen Sie mehrere Service-Einträge (SRV) in der DNS-Zone erstellen. Erstellen Sie die folgenden Datensätze:
_kerberos._tcp. - Ein Eintrag, der auf den Key Distribution Center (KDC) -Masterserver verweist, auf dem Kerberos-Konten gespeichert sind.
_kerberos._udp. - Ein Eintrag, der auf den KDC-Hauptserver verweist, der das UDP-Protokoll verwendet.
_ldap._tcp. - Ein Eintrag, der auf den Active Directory-Stammserver verweist, auf dem die Benutzerkonten gespeichert sind.
3. Einstellung der Aufnahmelebensdauer (TTL):
Es wird empfohlen, die Lebensdauer (TTL) von DNS-Einträgen auf 5 Minuten festzulegen, damit Kerberos ordnungsgemäß funktioniert. Dadurch wird sichergestellt, dass Datensätze schnell aktualisiert werden, wenn sich die Netzwerkkonfiguration ändert.
4. Überprüfen der DNS-Einstellungen:
Nachdem Sie Service-Datensätze erstellt und die Lebensdauer der Datensätze festgelegt haben, stellen Sie sicher, dass sie ordnungsgemäß konfiguriert sind. Stellen Sie sicher, dass der DNS-Server mit den richtigen Adressen kommuniziert und für jeden Diensteintrag Anfragen beantwortet.
Nachdem Sie diese Schritte ausgeführt haben, konfigurieren Sie den DNS-Server erfolgreich für die Verwendung von Kerberos unter Windows Server 2008 R2. Dies ermöglicht eine effiziente Nutzung des Kerberos-Protokolls für die Sicherheit und Authentifizierung in Ihrem Netzwerk.
Installieren des Key Distribution Center-Diensts (KDC)
Um Kerberos unter Windows Server 2008 R2 zu konfigurieren, muss der Key Distribution Center (KDC) -Dienst installiert sein. Der KDC-Dienst ist für die Ausgabe und Überprüfung der Authentifizierungsschlüssel im Kerberos-System verantwortlich.
Folgen Sie den Anweisungen unten, um KDC zu installieren:
- Öffnen Sie Server Manager. Klicken Sie auf die Registerkarte "Roles" und wählen Sie "Add Roles".
- Wählen Sie Active Directory Domain Services (AD DS) aus. Folgen Sie den Anweisungen des Installationsassistenten und installieren Sie die erforderlichen Komponenten.
- Kehren Sie nach der Installation von AD DS zum Server Manager zurück. Klicken Sie auf die Registerkarte "Rollen" und wählen Sie "Rollendienste hinzufügen".
- Wählen Sie "AD DS" und "KDC". Folgen Sie den Anweisungen des Assistenten, um die Installation fortzusetzen.
- Bestätigen Sie die Installation und warten Sie, bis sie abgeschlossen ist. Die Installation des KDC-Dienstes wird einige Zeit in Anspruch nehmen.
Nachdem die Installation des KDC-Diensts abgeschlossen ist, können Sie mit der Kerberos-Konfiguration unter Windows Server 2008 R2 fortfahren.
Konfigurieren des Kerberos-Clients
Führen Sie die folgenden Schritte aus, um den Kerberos-Client unter Windows Server 2008 R2 zu konfigurieren:
- Öffnen Sie die Systemsteuerung und wählen Sie System und Sicherheit.
- Klicken Sie auf das Sicherheitscenter und dann auf Windows-Diensteinstellungen ändern."
- Melden Sie sich als Administrator an.
- Wählen Sie den Dienst "Kerberos Key Distribution Center" aus und legen Sie den Startmodus auf "Automatisch" fest.
- Klicken Sie auf Übernehmen und OK, um die Änderungen zu speichern.
- Öffnen Sie die Eingabeaufforderung als Administrator.
- Geben Sie den folgenden Befehl ein: ksetup /setrealm YOURDOMAIN.COM durch ersetzen "YOURDOMAIN.COM " auf den Namen Ihrer Domain.
- Geben Sie ksetup /addkdc ein YOURDOMAIN.COM kdc.yourdomain.com durch ersetzen "YOURDOMAIN.COM " auf Ihren Domain-Namen und "kdc.yourdomain.com " im Namen Ihres KDC.
- Geben Sie ksetup /setdefaultrealm ein YOURDOMAIN.COM durch ersetzen "YOURDOMAIN.COM " auf den Namen Ihrer Domain.
- Starten Sie den Computer neu, um die Änderungen anzuwenden.
Nachdem Sie alle angegebenen Schritte ausgeführt haben, wird Ihr Kerberos-Client konfiguriert und kann verwendet werden.
Überprüfen der Kerberos-Integrität
Nachdem Sie Kerberos unter Windows Server 2008 R2 konfiguriert haben, müssen Sie überprüfen, ob das Protokoll ordnungsgemäß funktioniert. Führen Sie dazu die folgenden Schritte aus:
- Führen Sie die Eingabeaufforderung als Administrator aus.
- Geben Sie den Befehl ein klist und drücken Sie die Eingabetaste. Wenn Kerberos erfolgreich konfiguriert wurde, wird eine Liste der Sitzungen angezeigt.
- Mit dem Befehl ping überprüfen Sie, ob der Domänencontroller und andere Knoten verfügbar sind, mit denen eine Kerberos-Verbindung hergestellt werden soll.
- Führen Sie den Befehl aus ksetup /dumpstate, um Informationen zum aktuellen Kerberos-Status zu erhalten, z. B. Einstellungen und Kommunikationskanäle.
- Erstellen Sie ein neues Benutzerkonto, und versuchen Sie, die Kerberos-Authentifizierung mit diesem Konto für verschiedene Ressourcen innerhalb der Domäne durchzuführen. Wenn die Autorisierung erfolgreich ist, kann man davon ausgehen, dass Kerberos korrekt konfiguriert und funktionsfähig ist.
Wenn bei der Überprüfung der Kerberos-Integrität Probleme auftreten, sollten Sie die Protokolleinstellungen sorgfältig überprüfen und die Ereignisprotokolle überprüfen, um mögliche Fehler zu ermitteln.
