Prise en charge de l'authentification Kerberos (SPNEGO) pour les sites privés

Ce document décrit comment configurer un centre de distribution de clés (KDC) Kerberos et une application web authentifiée par SPNEGO/Kerberos sur une instance EC2 Amazon Linux 2023, et comment configurer le gestionnaire de tâches Synthetics (SJM) pour monitorer avec la prise en charge de l’authentification Kerberos.

Valeurs d’espace réservé

Avant de commencer, identifiez les valeurs suivantes pour votre environnement. Remplacez chaque espace réservé par votre propre valeur partout où il apparaît dans ce document.

Espace réservé	Description	Exemple
`<REALM_NAME>`	Domaine Kerberos (doit être en majuscules)	`KERBTEST.LOCAL`
`<EC2_PRIVATE_IP>`	Adresse IPv4 privée de l'instance EC2	`10.8.9.172`
`<EC2_INTERNAL_HOSTNAME>`	Nom de domaine entièrement qualifié (FQDN) de l’application web	`ip-X-X-X-X.ec2.internal`
`<CLIENT_PRINCIPAL>`	Identité Kerberos attribuée aux workers Synthetics	`synthetics-test`
`<CLIENT_KEYTAB_PATH>`	Chemin complet sur l'hôte où le keytab client est stocké	`/home/ec2-user/kerb-test/synthetics-test.keytab`
`<PRIVATE_LOCATION_KEY>`	Clé de site privé New Relic	`NRSP-us...`

Partie 1 : configurer l'environnement hôte

Installez le serveur KDC Kerberos et les outils d'administration sur l'instance EC2 hôte :

bash

$sudo dnf install -y krb5-server krb5-workstation

Configurez /etc/krb5.conf pour diriger les requests de domaine vers votre KDC :

bash

$sudo tee /etc/krb5.conf > /dev/null <<'EOF'
$[libdefaults]
$    default_realm = <REALM_NAME>
$    dns_lookup_realm = false
$    dns_lookup_kdc = false
$    rdns = false
$
$[realms]
$    <REALM_NAME> = {
$        kdc = <EC2_PRIVATE_IP>
$        admin_server = <EC2_PRIVATE_IP>
$    }
$
$[domain_realm]
$    <EC2_INTERNAL_HOSTNAME> = <REALM_NAME>
$EOF

Définissez le port et les règles de chiffrement pour le service KDC :

bash

$sudo tee /var/kerberos/krb5kdc/kdc.conf > /dev/null <<'EOF'
$[kdcdefaults]
$    kdc_ports = 88
$    kdc_tcp_ports = 88
$
$[realms]
$    <REALM_NAME> = {
$        acl_file = /var/kerberos/krb5kdc/kadm5.acl
$        dict_file = /usr/share/dict/words
$        admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
$        supported_enctypes = aes256-cts-hmac-sha1-96:normal aes128-cts-hmac-sha1-96:normal
$    }
$EOF

Créez la base de données et démarrez les services d'arrière-plan KDC :

bash

$# Create the Kerberos database (assign a master password when prompted)
$sudo kdb5_util create -r <REALM_NAME> -s
$
$# Grant admin permissions and enable KDC services on system boot
$echo "*/admin@<REALM_NAME> *" | sudo tee /var/kerberos/krb5kdc/kadm5.acl
$sudo systemctl enable --now krb5kdc kadmin

Générez des fichiers keytab contenant des identifiants non interactifs pour le client (worker Synthetics) et le nom de principal du service (SPN) du serveur web cible :

bash

$mkdir -p /home/ec2-user/kerb-test
$
$# 1. Create client principal & keytab for synthetics runners
$sudo kadmin.local -q "addprinc -randkey <CLIENT_PRINCIPAL>@<REALM_NAME>"
$sudo kadmin.local -q "ktadd -k <CLIENT_KEYTAB_PATH> <CLIENT_PRINCIPAL>@<REALM_NAME>"
$sudo chmod 644 <CLIENT_KEYTAB_PATH>
$
$# 2. Create HTTP service principal name (SPN) keytab for the web server
$sudo kadmin.local -q "addprinc -randkey HTTP/<EC2_INTERNAL_HOSTNAME>@<REALM_NAME>"
$sudo kadmin.local -q "ktadd -k /home/ec2-user/kerb-test/http.keytab HTTP/<EC2_INTERNAL_HOSTNAME>@<REALM_NAME>"
$sudo chmod 644 /home/ec2-user/kerb-test/http.keytab

Conseil

Vous n’avez besoin de cette étape que si vous souhaitez exécuter un serveur web de test sur le même hôte pour valider la configuration. Vous n’en avez pas besoin pour configurer le SJM.

Déployez un conteneur Apache configuré avec mod_auth_gssapi:

bash

$mkdir -p ~/kerb-test/httpd-image && cd ~/kerb-test/httpd-image
$
$cat > kerb-test.conf <<'EOF'
$<Location /kerb-test>
$    AuthType GSSAPI
$    AuthName "Kerberos Login"
$    GssapiCredStore keytab:/etc/krb5-http.keytab
$    Require valid-user
$</Location>
$EOF
$
$cat > Dockerfile <<'EOF'
$FROM debian:bookworm-slim
$RUN apt-get update && \
>    apt-get install -y --no-install-recommends apache2 libapache2-mod-auth-gssapi krb5-user && \
>    a2enmod auth_gssapi && \
>    mkdir -p /var/www/html/kerb-test && \
>    echo '<h1>Kerberos SSO worked</h1>' > /var/www/html/kerb-test/index.html && \
>    rm -rf /var/lib/apt/lists/*
$COPY kerb-test.conf /etc/apache2/conf-enabled/kerb-test.conf
$EXPOSE 80
$CMD ["apache2ctl", "-D", "FOREGROUND"]
$EOF
$
$docker build -t kerb-test-httpd .
$
$docker run -d --name kerb-test-httpd \
>  -p 8080:80 \
>  -v /etc/krb5.conf:/etc/krb5.conf:ro \
>  -v /home/ec2-user/kerb-test/http.keytab:/etc/krb5-http.keytab:ro \
>  kerb-test-httpd

Assurez-vous que le domaine interne se résout localement sur l'hôte, et vérifiez que l'authentification Kerberos se termine avec succès :

bash

$# 1. Map internal hostname in /etc/hosts
$echo "<EC2_PRIVATE_IP> <EC2_INTERNAL_HOSTNAME>" | sudo tee -a /etc/hosts
$
$# 2. Verify unauthenticated challenge returns 401 Unauthorized
$curl -i http://<EC2_INTERNAL_HOSTNAME>:8080/kerb-test/
$
$# 3. Test ticket acquisition and end-to-end Kerberos SSO
$kinit -kt <CLIENT_KEYTAB_PATH> <CLIENT_PRINCIPAL>@<REALM_NAME>
$curl --negotiate -u : -i http://<EC2_INTERNAL_HOSTNAME>:8080/kerb-test/

Un test réussi répond avec HTTP/1.1 200 OK et affiche le contenu de la page web protégée.

Partie 2 : configurer le gestionnaire de tâches Synthetics pour Kerberos

Pour permettre aux conteneurs d'exécution de navigateur Synthetics de résoudre automatiquement le KDC, d'acquérir des tickets Kerberos, et de s'authentifier auprès des points de terminaison protégés, ajoutez les variables d'environnement Kerberos et les montages de volume suivants à votre commande SJM docker run standard.

Commande standard (sans Kerberos)

bash

$docker run -e PRIVATE_LOCATION_KEY=<PRIVATE_LOCATION_KEY> \
>  -d --restart unless-stopped \
>  -v /var/run/docker.sock:/var/run/docker.sock:rw \
>  newrelic/synthetics-job-manager

Commande requise (avec la prise en charge de Kerberos activée)

Ajoutez les variables d’environnement (-e) et le montage de volume keytab (-v) suivants à votre commande docker run :

bash

$docker run -d \
>  --name sjm-container \
>  --restart unless-stopped \
>  -e PRIVATE_LOCATION_KEY=<PRIVATE_LOCATION_KEY> \
>  -e KERBEROS_REALM=<REALM_NAME> \
>  -e KERBEROS_KDC=<EC2_PRIVATE_IP> \
>  -e KERBEROS_HOST_ALLOWLIST=<EC2_INTERNAL_HOSTNAME> \
>  -e KERBEROS_KEYTAB_HOST_PATH=<CLIENT_KEYTAB_PATH> \
>  -e RUNTIME_EXTRA_HOSTS=<EC2_INTERNAL_HOSTNAME>:<EC2_PRIVATE_IP> \
>  -v /var/run/docker.sock:/var/run/docker.sock:rw \
>  -v <CLIENT_KEYTAB_PATH>:<CLIENT_KEYTAB_PATH>:ro \
>  newrelic/synthetics-job-manager

Cette traduction automatique est fournie pour votre commodité.

Prise en charge de l'authentification Kerberos (SPNEGO) pour les sites privés

Valeurs d’espace réservé

Partie 1 : configurer l'environnement hôte

Étape 1 : installer les packages Kerberos

Étape 2 : configurer le système Kerberos (`/etc/krb5.conf`)

Étape 3 : configurez le daemon KDC (`kdc.conf`)

Étape 4 : initialiser la base de données principale et les daemons KDC

Étape 5 : générer les keytabs client et serveur

(Facultatif) Étape 6 : déployer un conteneur web de test

Conseil

Étape 7 : vérifiez le DNS local et la négociation Kerberos

Partie 2 : configurer le gestionnaire de tâches Synthetics pour Kerberos

Commande standard (sans Kerberos)

Commande requise (avec la prise en charge de Kerberos activée)

Cette traduction automatique est fournie pour votre commodité.

Prise en charge de l'authentification Kerberos (SPNEGO) pour les sites privés

Valeurs d’espace réservé .css-21sua1{background:none;border:none;width:0;padding:0;}

Partie 1 : configurer l'environnement hôte

Étape 2 : configurer le système Kerberos (/etc/krb5.conf)

Étape 3 : configurez le daemon KDC (kdc.conf)

Étape 4 : initialiser la base de données principale et les daemons KDC

Étape 5 : générer les keytabs client et serveur

(Facultatif) Étape 6 : déployer un conteneur web de test

Étape 7 : vérifiez le DNS local et la négociation Kerberos

Partie 2 : configurer le gestionnaire de tâches Synthetics pour Kerberos

Commande standard (sans Kerberos)

Commande requise (avec la prise en charge de Kerberos activée)

Valeurs d’espace réservé

Étape 2 : configurer le système Kerberos (`/etc/krb5.conf`)

Étape 3 : configurez le daemon KDC (`kdc.conf`)