IBM @server i Serie Manual De Instrucciones página 142

; Usaremos LDAP para resolver a qué reino pertenece un nombre de sistema principal dado.
; También los podríamos definir aquí, pero solo se utilizarían en el caso de que
; fallase la búsqueda LDAP.
;
[capaths]
; Las vías de autenticación configurables definen las relaciones de confianza
; entre cliente y servidores. Cada entrada representa un reino de cliente
; y consta de las relaciones de confianza para cada servidor al que se pueda
; acceder desde ese reino. Puede haber servidores que figuren numerosas veces en la
; lista si son varias las relaciones de confianza implicadas. Especifique '.' para
; una conexión directa.
;-REALM1.ROCHESTER.IBM.COM = {
;- REALM2.ROCHESTER.IBM.COM = .
;;}
DEPTXYZ.BOGUSNAME.COM = {
DEPTABC.BOGUSNAME.COM = .
}
Lea el tema "Información de exención de responsabilidad" en la página 2, donde encontrará
información legal importante.
2. Definir Kerberos para el servidor LDAP
a. El servidor LDAP debe tener un objeto dominio cuyo nombre se corresponda con el nombre del
reino Kerberos. Por ejemplo, si el nombre del reino Kerberos es DEPTABC.BOGUSNAME.COM, debe
haber un objeto en el directorio que se llame dc=DEPTABC,dc=BOGUSNAME,dc=com. Si este objeto no
existe, será necesario que primero añada un sufijo a la configuración del servidor LDAP. Para este
nombre de objeto, serían sufijos válidos dc=DEPTABC,dc=BOGUSNAME,dc=COM o una de las
entradas padre (dc=BOGUSNAME,dc=COM o dc=COM). Para un servidor LDAP i5/OS, puede
añadir un sufijo utilizando iSeries Navigator.
Si desea añadir un sufijo, siga estos pasos:
1) En iSeries Navigator, expanda su servidor iSeries → Red → Servidores → TCP/IP.
2) Pulse IBM Directory Server con el botón derecho del ratón y seleccione Propiedades.
3) En la página Base de datos/Sufijo, especifique el sufijo que desea añadir.
b. Utilice el mandato LDAPADD para añadir el objeto dominio correspondiente al reino en el
directorio LDAP.
c. Siguiendo con nuestro ejemplo de integrado de dos reinos, que se llaman
DEPTABC.BOGUSNAME.COM y DEPTXYZ.BOGUSNAME.COM, coloque las siguientes líneas en
el archivo del sistema de archivos integrado:
dn: dc=BOGUSNAME,dc=COM
dc: BOGUSNAME
objectClass: domain
dn: dc=DEPTABC,dc=BOGUSNAME,dc=COM
dc: DEPTABC
objectClass: domain
dn: dc=DEPTXYZ,dc=BOGUSNAME,dc=COM
dc: DEPTXYZ
objectClass: domain
d. Si el archivo del sistema de archivos integrado se llama /tmp/addRealms.ldif, tomando los mismos
supuestos que en el ejemplo anterior, escriba estos mandatos:
STRQSH
ldapadd -h dirserv.bogusname.com -D cn=Administrator
-w verysecret -c -f
/tmp/addRealms.ldif
e. Defina las entradas KDC de sus reinos y, si lo desea, defina las entradas de nombre de sistema
principal para asignar un nombre de reino concreto a cada sistema principal de la red.
136
iSeries: Servicio de autenticación de red