A Kerberos kiszolgáló telepítése előtt szükség van egy megfelelően beállított DNS-kiszolgálóra a tartományban. Mivel a Kerberos tartomány megállapodás szerint megegyezik a tartománynévvel, ez a szakasz az „Elsődleges mester” szakaszban beállított példa.hu tartományt használja.

A Kerberos ezen kívül időérzékeny protokoll is. Emiatt ha a helyi rendszeridő a kliensgép és a kiszolgáló között (alapértelmezésben) 5 percnél többel tér el, akkor a munkaállomás nem lesz képes hitelesítésre. A probléma megszüntetése érdekében minden kiszolgálónak a Hálózati időprotokoll (NTP) segítségével kell szinkronizálnia idejét. Az NTP beállításáról lásd: „Időszinkronizálás NTP-vel”.

A Kerberos tartomány telepítésének első lépése a krb5-kdc és krb5-admin-server csomagok telepítése. Adja ki a következő parancsot:

sudo apt-get install krb5-kdc krb5-admin-server

A telepítés végén a program bekéri a tartomány Kerberos és Admin kiszolgálóinak nevét, ezek lehetnek önállóak vagy ugyanaz a kiszolgáló is.

Ezután hozza létre az új tartományt a kdb5_newrealm segédprogrammal:

sudo krb5_newrealm

A telepítés során feltett kérdések segítségével az /etc/krb5.conf fájl kerül beállításra. Ha módosítania kell a kulcsszolgáltató (KDC) beállításait, akkor szerkessze ezt a fájlt, és indítsa újra a krb5-kdc démont.

Az új Kerberos tartomány ezzel felkészült a kliensek hitelesítésére.

Egy Kerberos tartományba való bejelentkezéshez a krb5-user és libpam-krb5 csomagok szükségesek, valamint van néhány nem kötelező, de az életet megkönnyítő csomag is. A telepítésükhöz adja ki a következőt:

sudo apt-get install krb5-user libpam-krb5 libpam-ccreds auth-client-config

Az auth-client-config csomag lehetővé teszi a PAM egyszerű beállítását több forrásból való bejelentkezéshez, a libpam-ccreds pedig gyorsítótárazza a bejelentkezési személyes adatokat, ezzel lehetővé téve a bejelentkezést akkor is, ha a kulcsszolgáltató (KDC) nem érhető el. Ez a csomag hasznos laptopok használatakor is, amelyeknek képeseknek kell lenniük Kerberos használatával való bejelentkezésre a céges hálózaton, de a hálózatról leválasztva is elérhetőnek kell maradniuk.

A kliens beállításához adja ki a következő parancsot:

sudo dpkg-reconfigure krb5-config

A beállítófelület bekéri a Kerberos tartomány nevét. Ha nincs beállítva DNS a Kerberos SRV rekordjaival, akkor a menü bekéri a kulcsszolgáltató (KDC) és tartományadminisztrációs kiszolgáló gépnevét.

A dpkg-reconfigure a tartomány /etc/krb5.conf fájljába vesz fel bejegyzéseket. A következőhöz hasonló bejegyzéseket kell látnia:

[libdefaults]
        default_realm = PÉLDA.HU
...
[realms]
        PÉLDA.HU = }                
                kdc = 192.168.0.1               
                admin_server = 192.168.0.1
        }

A beállításokat tesztelheti egy jegy kérésével a kinit segítségével. Például:

kinit geza@PÉLDA.HU
Password for geza@PÉLDA.HU:

A jegy megadása után a részletei a klist segítségével jeleníthetők meg:

klist
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: geza@PÉLDA.HU

Valid starting     Expires            Service principal
07/24/08 05:18:56  07/24/08 15:18:56  krbtgt/PÉLDA.HU@PÉLDA.HU
        renew until 07/25/08 05:18:57


Kerberos 4 ticket cache: /tmp/tkt1000
klist: You have no tickets cached

Ezután az auth-client-config segítségével állítsa be a libpam-krb5 modult jegy kérésére a bejelentkezés során:

sudo auth-client-config -a -p kerberos_example

A sikeres bejelentkezés után meg kell kapnia a jegyet.