Ce guide aborde le périmètre Bastion 12. Les menus, options et compatibilités peuvent évoluer avec les correctifs et la version d’Access Manager : vérifiez la documentation correspondant à votre environnement avant une configuration.
Comprendre le fonctionnement
Kerberos utilise des tickets émis par le KDC. Une authentification avec identifiants et un accès transparent avec ticket de service ne sont pas le même parcours. Pour le SSO, le client présente un ticket destiné au service Bastion, qui doit pouvoir le vérifier avec son keytab.
Le nom du service est central : le parcours HTTPS utilise un principal de type HTTP/nom-hote.domaine ; SSH utilise host/nom-hote.domaine. Le FQDN utilisé par le client, le SPN et le principal du keytab doivent décrire le même service.
Construire et vérifier la configuration
- Valider le DNS, le realm et la synchronisation horaire entre client, Bastion et KDC.
- Identifier les services HTTPS et SSH à intégrer, les SPN correspondants et le compte de service prévu dans l’annuaire.
- Générer les keytabs selon la procédure de l’annuaire et les algorithmes compatibles. Protéger ces fichiers comme des secrets de service.
- Configurer la source Kerberos et les utilisateurs ou le domaine. Adapter le navigateur ou le client SSH au SSO choisi.
- Tester avec le FQDN prévu et un ticket valide, puis avec un ticket expiré ou un nom incorrect ; observer à quelle étape l’échange échoue.
Les choix à retenir
Reliez chaque réglage à son effet sur l’accès et à la vérification associée.
| Élément | Rôle ou effet | Vérification |
|---|---|---|
| DNS / FQDN | Nomme le service réellement contacté | Nom cohérent avec le SPN |
| SPN | Identifie le service au KDC | Principal HTTP ou host attendu |
| Keytab | Vérifie le ticket de service | Compte, clé et version de clé |
| Heure | Conditionne la validité des tickets | Synchronisation de tous les participants |
Diagnostiquer sans masquer le problème
Un accès par adresse IP peut sortir du nom de service prévu. Un alias DNS requiert une stratégie de SPN cohérente ; ne supposez pas qu’il est interchangeable avec le FQDN nominal.
Après renouvellement du secret de service, un ancien keytab peut devenir incohérent. Comparer principal, version de clé et méthode supportée avant d’affaiblir les algorithmes.
Exercice de compréhension
Le SSO HTTPS échoue sur un alias mais réussit sur le nom principal. Quelle différence explique probablement ce comportement ?
Voir le corrigé
Le ticket demandé peut viser un SPN différent. Vérifier le nom utilisé, le SPN enregistré et le principal disponible dans le keytab, ainsi que la configuration du navigateur.
Pour approfondir
- Documentation des produits WALLIX — choisir la version applicable
- Portail support WALLIX — guides et compatibilité par version