SEAM Installation und Versionshinweise. Sun Microsystems, Inc. 901 San Antonio Road Palo Alto, CA U.S.A.

Transkript

1 SEAM Installation und Versionshinweise Sun Microsystems, Inc. 901 San Antonio Road Palo Alto, CA U.S.A. Bestellnummer März 2000

2 Copyright 2000 Sun Microsystems, Inc. 901 San Antonio Road, Palo Alto, California U.S.A. All rights reserved. Dieses Produkt ist durch Copyright geschützt und wird unter Vergabe von Lizenzen vertrieben, die seinen Gebrauch, das Kopieren, die Weitergabe und Dekompilierung einschränken. Kein Teil dieses Produkts oder Dokuments darf in irgendeiner Form durch irgendwelche Hilfsmittel ohne die schriftliche Genehmigung von Sun und ggf. durch seine Lizenznehmer reproduziert werden. Software anderer Hersteller, einschließlich Schriftsatz-Technologie, unterliegt dem Copyright und der Lizenzvergabe durch Lieferanten von Sun. Teile des Produkts können aus Systemen von Berkeley BSD abgeleitet sein, und stehen unter Lizenz der University of California. UNIX ist eine eingetragene Marke in den USA und anderen Ländern und wird von X/Open Company, Ltd. exklusiv lizensiert. Sun, Sun Microsystems, das Sun-Logo, docs.sun.com, AnswerBook, AnswerBook2, NFS, und Solaris sind Marken, eingetragene Marken oder Dienstleistungsmarken von Sun Microsystems, Inc. in den USA und in anderen Ländern. Alle SPARC-Marken werden unter Lizenz verwendet und sind Marken oder eingetragene Marken von SPARC International, Inc. in den USA und in anderen Ländern. Produkte mit den SPARC-Marken basieren auf einer Architektur, die von Sun Microsystems, Inc. Copyright für Teile der Software 1996 Massachusetts Institute of Technology. Alle Rechte vorbehalten. entwickelt worden ist. Die graphische OPEN LOOK- und Sun TM -Benutzeroberfläche wurde von Sun Microsystems, Inc. für seine Benutzer und Lizenznehmer entwickelt. Sun weist darauf hin, dass Xerox Pionierleistungen bezüglich der Untersuchung und Entwicklung des Konzepts visueller und graphischer Bentzeroberflächen für die Computerindustrie erbracht hat. Sun hält eine nicht-exklusive Lizenz von Xerox über die Xerox Graphical User Interface, womit auch die Lizenznehmer von Sun abgedeckt werden, die OPEN LOOK GUIs implementieren oder auf andere Art den schriftlichen Lizenzvereinbarungen von Sun entsprechen. EINGESCHRÄNKTE RECHTE: Verwendung, Vervielfältigung oder Offenlegung durch die U.S.-Regierung unterliegen den Einschränkungen von FAR (g)(2)(6/87) und FAR (6/87), oder DFAR (b)(6/95) und DFAR (a). DAS DOKUMENT WIRD IM ZUSTAND WIE ES IST ÜBERGEBEN UND ALLE AUSDRÜCKLICHEN ODER IMPLIZIERTEN BEDINGUNGEN, DARSTELLUNGEN UND GARANTIEN, EINSCHLIESSLICH EINER GARANTIE DER VERÄUSSERLICHKEIT, DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK UND DER NICHTVERLETZUNG VON RECHTEN DRITTER WERDEN NICHT GEGEBEN, AUSGENOMMEN IN DEN FÄLLEN, BEI DENEN DERARTIGE UNVERBINDLICHKEITSERKLÄRUNGEN RECHTLICH UNGÜLTIG SIND. Copyright 2000 Sun Microsystems, Inc. 901 San Antonio Road, Palo Alto, Californie Etats-Unis. Tous droits réservés. Ce produit ou document est protégé par un copyright et distribué avec des licences qui en restreignent l utilisation, la copie, la distribution, et la décompilation. Aucune partie de ce produit ou document ne peut être reproduite sous aucune forme, par quelque moyen que ce soit, sans l autorisation préalable et écrite de Sun et de ses bailleurs de licence, s il y en a. Le logiciel détenu par des tiers, et qui comprend la technologie relative aux polices de caractères, est protégé par un copyright et licencié par des fournisseurs de Sun. Des parties de ce produit pourront être dérivées du système Berkeley BSD licenciés par l Université de Californie. UNIX est une marque déposée aux Etats-Unis et dans d autres pays et licenciée exclusivement par X/Open Company, Ltd. Sun, Sun Microsystems, le logo Sun, docs.sun.com, AnswerBook, AnswerBook2, NFS, et Solaris sont des marques de fabrique ou des marques déposées, ou marques de service, de Sun Microsystems, Inc. aux Etats-Unis et dans d autres pays. Toutes les marques SPARC sont utilisées sous licence et sont des marques de fabrique ou des marques déposées de SPARC International, Inc. aux Etats-Unis et dans d autres pays. Les produits portant les marques SPARC sont basés sur une architecture développée par Sun Microsystems, Inc.Copyright 1996 des portions du logiciel par Massachusetts Institute of Technology. Tous droits réservés. L interface d utilisation graphique OPEN LOOK et Sun TM a été développée par Sun Microsystems, Inc. pour ses utilisateurs et licenciés. Sun reconnaît les efforts de pionniers de Xerox pour la recherche et le développement du concept des interfaces d utilisation visuelle ou graphique pour l industrie de l informatique. Sun détient une licence non exclusive de Xerox sur l interface d utilisation graphique Xerox, cette licence couvrant également les licenciés de Sun qui mettent en place l interface d utilisation graphique OPEN LOOK et qui en outre se conforment aux licences écrites de Sun. CETTE PUBLICATION EST FOURNIE EN L ETAT ET AUCUNE GARANTIE, EXPRESSE OU IMPLICITE, N EST ACCORDEE, Y COMPRIS DES GARANTIES CONCERNANT LA VALEUR MARCHANDE, L APTITUDE DE LA PUBLICATION A REPONDRE A UNE UTILISATION PARTICULIERE, OU LE FAIT QU ELLE NE SOIT PAS CONTREFAISANTE DE PRODUIT DE TIERS. CE DENI DE GARANTIE NE S APPLIQUERAIT PAS, DANS LA MESURE OU IL SERAIT TENU JURIDIQUEMENT NUL ET NON AVENU. Please Recycle

3 Inhalt 1. SEAM Produktübersicht 5 Einführung 5 Bestandteile der Version 5 SEAM Produktabhängigkeiten 6 Status 6 SEAM-Verträglichkeit 6 SEAM-Verträglichkeit mit MIT 7 SEAM-Verträglichkeit mit NT 7 Bekannte Fehler 7 2. SEAM-Installation 15 Inhalt des SEAM-Package 15 SEAM Client-Packages 16 Slave-KDC-Packages 16 Master-KDC-Packages 16 Patches 16 Aufgabenübersicht für die SEAM-Installation 17 Installieren der SEAM-Software 18 H Wie das SEAM-Speicherabbild auf ein lokales Dateisystem kopiert wird 19 H Wie ein beschreibbares Dateisystem auf der Admin Pack-CD eingehängt wird 21 3

4 H Wie SEAM-Installationen vorkonfiguriert werden 22 H Wie Sie die SEAM-Software mithilfe der Benutzeroberfläche installieren 27 H Wie Sie die SEAM-Software ohne Benutzeroberfläche installieren 30 H Wie Sie ein nicht konfiguriertes System korrigieren 31 Deinstallieren von SEAM 31 Hinzufügungen zur Solaris Management Console 32 4 SEAM Installation und Versionshinweise März 2000

5 KAPITEL 1 SEAM Produktübersicht Dieses Kapitel bietet eine allgemeine Übersicht über das Produkt Sun TM Enterprise Authentication Mechanism (SEAM) Die folgenden Themen werden behandelt: 4 Bestandteile der Version auf Seite 5 4 SEAM Produktabhängigkeiten auf Seite 6 4 Status auf Seite 6 4 Bekannte Fehler auf Seite 7 Einführung Die SEAM-Version hat den Zweck, durch Unterstützung der Authentisierung, des Privatsphärenschutzes und der Integrität von Kerberos V5 die Systemsicherheit zu verbessern. Die Sicherheit sollte auch verbessert worden sein, indem mithilfe der kerberosfähigen Anmeldemechanismen nur eine einzige Anmeldung im Netzwerk erforderlich ist, und indem kerberosfähige NFS TM -Services zur Verfügung gestellt werden. Bestandteile der Version Diese Version besteht aus den folgenden Teilen: 4 Key Distribution Center (KDC) 4 KDC-Services 5

6 4 kadmind und krb5kdc 4 Dienstprogramme für die KDC-Verwaltung 4 kadmin, kadmin.local und gkadmin 4 kpropd 4 Kerberosfähige Dienstprogramme und Daemons 4 ftp, rcp, rlogin, rsh und telnet 4 ftpd, rlogind, rshd und telnetd 4 Dokumentation mit folgenden Bestandteilen: 4 Sun Enterprise Authentication Mechanism Handbuch 4 SEAM-Installation und Versionshinweise (dieses Dokument) 4 Online-Dokumentation (Man Pages) SEAM Produktabhängigkeiten Solaris 8 muss installiert sein, damit dieses Produkt einwandfrei ausgeführt werden kann. XFN und JDK TM 1.1 müssen ebenfalls installiert sein. Status SEAM ist eine sich weiterentwickelnde Spezifikation und unterliegt daher Änderungen. SEAM-Verträglichkeit Die Verträglichkeit von SEAM ist mit Installationen von MIT Kerberos V5 1.0 und NT 5.0 getestet worden. 6 SEAM Installation und Versionshinweise März 2000

7 SEAM-Verträglichkeit mit MIT SEAM arbeitet mit einer MIT-Installation zusammen, wobei die folgenden Einschränkungen gelten: 1. gkadmin und kadmin können nicht für MIT KDCs eingesetzt werden. Der Grund liegt darin, dass gkadmin und kadmin das Protokoll RPCSEC_GSS zum Sichern der Verbindung mit KDC verwenden. Die Installation von MIT Kerberos V5 1.0 verwendet das nicht standardmäßige Protokoll AUTH_GSSAPI, um Sicherheit bereitzustellen. Da diese beiden Protokolle unterschiedlich sind, können Sie die Befehle gkadmin und kadmin nicht für ein MIT-KDC verwenden. 2. SEAM enthält nicht den Befehl ksu. Stattdessen wird PAM verwendet, damit der Befehl su das meiste von dem erledigt, was normalerweise ksu erledigt. In einer Hinsicht unterscheidet sich jedoch der Befehl ksu: er prüft in der Datei k5login nach, ob der Benutzer von su dazu ohne Passwort berechtigt ist, falls er Kerberos V5-Berechtigungsnachweise hat. Diese Prüfung wird in SEAM nicht durchgeführt. 3. Es ist nicht vorgesehen, dass SEAM-Code und MIT Kerberos V5-Code auf demselben Host koexistieren können. Das ist zwar theoretisch möglich, wird aber nicht unterstützt. 4. SEAM verlangt, dass rpcbind ausgeführt wird. Das ist kein Erfordernis der MIT Kerberos V5-Installation. SEAM-Verträglichkeit mit NT Informationen über die Verträglichkeit von SEAM mit NT sind unter der folgenden Adresse erhältlich: Diese Site enthält aktuelle Informationen über Testergebnisse und über Verfahren, mit denen man erreichen kann, dass SEAM mit NT zusammenarbeitet. Bekannte Fehler Dies ist eine Liste der bekannten Fehler in SEAM 1.0. Jeder Eintrag enthält eine Fehlernummer, eine Zusammenfassung sowie eine kurze Beschreibung des Fehlers : Kerberosfähiges rsh -f arbeitet nicht korrekt Wenn der Benutzer ausdrücklich weiterleitbare Berechtigungsnachweise anfordert, sollte rsh fehlschlagen, wenn es keine weiterleitbaren Berechtigungsnachweise gibt : "telnet> encrypt enable DES_OFB64" bringt Sitzung zum Einfrieren Der Verschlüsselungstyp DES_OFB64 kann nicht im Befehl telnet für die Datenverschlüsselung verwendet werden. Die einzige Verschlüsselung, die SEAM Produktübersicht 7

8 verwendet werden kann, ist DES_CFB64, was auch der Standard-Verschlüsselungstyp ist : gkadmin sollte bei der Generierung von Zufallspasswörtern nach Möglichkeit die Richtlinie befragen Wenn ein Benutzer mit gkadmin ein Zufallspasswort für einen Hauptbenutzer generiert, sollte das Tool die zur Anwendung kommende Richtlinie befragen, um die Anzahl der zu verwendenden Zeichen und Zeichenklassen festzulegen. Das führt dazu, dass das erste generierte Passwort von der kadmin-api in den meisten Fällen akzeptiert wird : Kerberosfähiges, bereichsübergreifendes rlogin schlägt bei falschem Passwort nicht fehl Wenn der kerberosfähige rlogin-befehl in inetd.conf aktiviert, jedoch in pam.conf nicht aktiviert ist (auf einem Host mit einem rlogin-server), dann wird ein Benutzer korrekt mithilfe von Kerberos V5 authentisiert, wenn rlogin bereichsübergreifend verwendet wird. Wird der Benutzer jedoch nach einem Passwort gefragt, dann wird jedes beliebige Passwort akzeptiert. Dies ist keine Sicherheitslücke, da der Benutzer durch Kerberos V5 authentisiert worden ist. Vermeiden Sie, das kerberosfähige rlogin in pam.conf zu deaktivieren, wenn es in inetd.conf aktiviert wird : Wenn bei Telnet die Option -r verwendet wird, gibt Telnet das Esc-Zeichen als ^] zurück Das Escapezeichen ist ~, wie in der Online-Dokumentation beschrieben : Der Befehl kprop gibt "Unterbrochene Pipe" zurück, wenn kpropd.acl keinen Eintrag für den Master hat Wenn /etc/krb5/kpropd.acl auf einem Slave-KDC nicht ordnungsgemäß eingerichtet ist, dann schlägt der Befehl kprop mit der Meldung "Unterbrochene Pipe" fehl : gkadmin: wenn das Ticket abläuft, sollte zum Anmeldefenster zurückgekehrt werden, damit die Authentisierung erneuert werden kann Wenn der Berechtigungsnachweis des Administrators, der zur Zeit bei gkadmin angemeldet ist, abgelaufen ist, dann wäre es praktisch, wenn gkadmin eine Meldung mit dem Hinweis "Ticket/Berechtigungsnachweis abgelaufen" anzeigt; sobald dann der Administrator auf die Schaltfläche "OK" klickt, sollte, gkadmin das aktuelle Fenster "SEAM-Verwaltungstools" schließen und den admin-benutzer zum Fenster "Anmeldung SEAM-Verwaltung" bringen und dabei die Eingabeaufforderung im Feld "Passwort" platzieren, um damit auszudrücken, dass der Benutzer für die erneute Authentisierung ein Passwort eingeben muss. 8 SEAM Installation und Versionshinweise März 2000

9 : gkadmin: Kann Namen von Hauptbenutzer/Richtlinie nicht ändern gkadmin unterstützt nicht die Fähigkeit, den Namen eines Hauptbenutzers oder einer Richtlinie zu ändern. Um denselben Effekt zu erzielen, sollte der Hauptbenutzer oder die Richtlinie in den neuen Namen mithilfe der Schaltfläche "Duplizieren" kopiert werden. Der alte Name sollte dann gelöscht werden : gkadmin: Bei einigen Elementen der Benutzeroberfläche innerhalb des Eigenschaftenfensters fehlen einige Kanten Die Schaltfläche "..." von "Zeitüberschreitung für Listen-Cache" hat keine rechte Seite. Nach Auswahl von "Liste anzeigen" oder "Listen immer zwischenspeichern" fehlt auch beim hervorgehobenen Rechteck, das diese wählbaren Schaltflächen umgibt, die LINKE Seite : gkadmin: kleinere Probleme mit der SEAM-Druckhilfe Die SEAM-Druckhilfe kann Daten anzeigen, die vor einem Klicken auf Abbrechen eingegeben wurden. Die Abbruchfunktion sollte alle Änderungen rückgängig machen und wiederherstellen, was vorher angezeigt war. Auch wird das Textfeld "Dateiname" im Fenster der SEAM-Druckhilfe nicht ordentlich gelöscht : gkadmin: Schaltfläche "Verlassen" funktioniert bei manchen Hilfefenstern nicht richtig Wenn das SEAM-Verwaltungstool per xhost ausgeführt wird, dann funktioniert die Schaltfläche "Verlassen" auf einigen Hilfebildschirmen nicht einwandfrei : kadmin und gkadmin sollten alternative Zeichenfolge drucken, wenn Lebensdauer 2^31-1 ist Wenn der Benutzer einen neuen Hauptbenutzer erstellt und dabei wünscht, dass die Lebensdauer von Tickets KDC-seitig festgelegt wird, dann wird der Wert = 2^31-1 in der Hauptbenutzer-Datenbank gespeichert. Bei der Anzeige eines Hauptbenutzers sollten CLI und GUI nicht den Wert (GUI) bzw Tage 03:14:07 (CLI) anzeigen, sondern stattdessen eine benutzerfreundlichere Zeichenfolge. Diese Art von Prüfung wird schon in dem Fall durchgeführt, bei dem das Datum 0 als "Niemals" angezeigt wird : Korrupter Text in der rsh-syntaxmeldung rsh, rlogin und rcp zeigen die Optionszeichenfolge für ungültige Optionen an. Sie sollten den Programmnamen anzeigen : Zeitangabe in der Warnungsmeldung bei Ablauf des Berechtigungsnachweises ist irreführend SEAM Produktübersicht 9

10 Wenn der eigentliche Ticketablauf kleiner als die Warnschwelle in /etc/krb5/ warn.conf ist, dann besagt die ausgegebene Warnmeldung, dass das Ticket innerhalb der in warn.conf angegebenen Zeit ablaufen wird und nicht zum Ende der Ablaufzeit : Service-Tickets werden nicht im Ticket-Cache gespeichert, wenn kinit bei einer Lebensdauer von weniger als 30 Minuten verwendet wird Wenn ein Benutzer über kinit -l Berechtigungsnachweise (d. h. ein Ticket-Granting Ticket) erwirbt, und die Lebensdauer ist weniger als 30 Minuten, dann werden aus dem Berechtigungsnachweis gewonnene Service-Tickets nicht im Ticket-Cache angezeigt. Der Grund liegt darin, dass SEAM automatisch versucht, den Berechtigungsnachweis zu verlängern, wenn ein verlängerbarer Berechtigungsnachweis weniger als 30 Minuten Lebensdauer hat, um so die Bedienbarkeit so leicht wie möglich zu machen. Die Verlängerung eines Berechtigungsnachweises hat zur Folge, dass der vorherige Berechtigungsnachweis und die aus ihm gewonnenen Service-Tickets entfernt werden. Es gibt keine andere Auswirkung, weil jede Sitzung, die mit dem alten Service-Ticket eröffnet wurde, nur so lange wie die Lebensdauer des Tickets dauert. Rufen Sie kinit nicht mit der Option l auf, womit eine Ticket-Lebensdauer von weniger als 30 Minuten angegeben wird : kinit -s hat einige Probleme Ein Benutzer kann kinit nicht verwenden, um ein nachdatiertes Ticket mit einer Startzeit früher als 19 Tage vom aktuellen Tagesdatum erwerben : gkadmin: Inkonsistenz im Verhalten der Eingabetaste beim Erstellen einer neuen Richtlinie Nach Eingabe eines Richtliniennamens mit Standard-Parameterwerten im Bereich "Richtliniendetails" wird die Richtlinie derzeit bei Drücken der Eingabetaste (Return) nicht automatisch erstellt. Die Eingabetaste sollte eine Aktion auslösen, die dem Klicken auf die Schaltfläche "Fertig" entspricht : gkadmin: Feld "Zuletzt geändert von:" zeigt nicht den vollständigen Namen an Das Feld Zuletzt geändert von zeigt nicht den Instanznamen an, wodurch Admin-Hauptbenutzer nicht richtig identifiziert werden : Dokumentieren der Verhandlung von Lebensdauer und verlängerbarer Lebensdauer in Online-Dokumentation zu kinit Wenn ein Benutzer in der Befehlszeile die Lebensdauer angibt, dann ist die tatsächliche Lebensdauer des erhaltenen Tickets wenigstens eine der folgenden: In Befehlszeile angegebener Wert 10 SEAM Installation und Versionshinweise März 2000

11 In KDC-Konfigurationsdatei angegebener Wert Der für den Server-Hauptbenutzer in der Kerberos-Datenbank angegebene Wert; im Fall von kinit ist dies krbtgt/<bereichsname>. Der in der Kerberos-Datenbank für den Benutzer-Hauptbenutzer angegebene Wert : gkadmin: Datum/Uhrzeit-Hilfe ändert bei Jahreswechsel nicht 29. Feb. in 28. Feb. Bei Änderung des Jahres in der Datum/Uhrzeit-Hilfe wird das maximale zulässige Datum dieses Monats nicht neu berechnet : gkadmin: Passwort läuft ab: Feld zeigt irreführende Info an Wenn das Passwort mithilfe von gkadmin geändert wird, dann ändert sich die Ablaufzeit des Passworts, weil die Ablaufzeit durch eine Richtlinie generiert wird, die dem Hauptbenutzer zugeordnet ist. Die Benutzeroberfläche macht es nicht deutlich, dass die Ablaufzeit aus einer Richtlinie stammt. Die Auswirkung auf die Ablaufzeit des Passworts ist stets wahr, unabhängig davon, ob das Passwort durch kadmin, kadmin.local, gkadmin, kpasswd oder passwd geändert wird. Der Benutzer muss sich darüber im Klaren sein, dass es zwei Wahlmöglichkeiten gibt, wenn er das Passwort ändert: Entweder macht er das Feld für den Ablauf des Passwort leer, damit der Server es entsprechend der Richtlinie ausfüllt, oder er läßt in dem Feld eine Datumseingabe stehen, um die Ablaufzeit damit explizit festzulegen : gkadmin: Eingabetaste funktioniert nicht bei hervorgehobenen Schaltflächen der Benutzeroberfläche Obwohl Klicken mit der Maus auf Schaltflächen der Benutzeroberfläche funktioniert, ist dies leider nicht der Fall, wenn die Eingabetaste (Return) für die hervorgehobene Schaltfläche gedrückt wird : "kadmin: add_principal -expire "1/1/2000 7:00am" xhu" funktioniert nicht Die Option expire für den Befehl add_principal von kadmin funktioniert nicht, wenn eine Vormittagszeit (a.m.) angegeben wird. Zum Beispiel: kadmin: add_principal -expire "9/1/1999 7:00am" xhu Ungültige Datumsangabe "9/1/1999 7:00am". Die Verwendung von "pm" funktioniert. Um eine a.m.-zeit zu erhalten, fügen Sie "am" bei der Angabe von Vormittagszeiten nicht hinzu. Dieser Hauptbenutzer wird so hinzugefügt: SEAM Produktübersicht 11

12 kadmin: add_principal -expire "9/1/1999 7:00" : Dokumentieren, wie Hauptbenutzer ohne Verwendung von DNS hinzugefügt werden Die Verfahren in der SEAM-Dokumentation wurden auf der Basis einer DNS-Verwendung geschrieben, weswegen alle Host- und Service-Hauptbenutzer voll qualifizierte Domainnamen haben. Wenn Sie DNS nicht verwenden, fügen Sie beim Erstellen von Hauptbenutzern nicht den Domainnamen hinzu. Zum Beispiel würde kdc1.acme.com kdc1 heißen : Fehlermeldung für "mdtm" ist nicht konsistent mit anderen nicht unterstützten ftp-befehlen Der Versuch, den nicht unterstützten Unterbefehl mdtm zu verwenden, gibt eine andere Fehlermeldung als der ebenfalls nicht unterstützte Befehl size aus, und der Fehler wird zweimal ausgegeben : Befehl kdb5_util create arbeitet nicht einwandfrei, wenn die Option -r angegeben wird Der Befehl kdb5_util create verarbeitet das Argument r [Bereich] nicht richtig, daher muss /etc/krb5/krb5.conf für den gewünschten Bereich konfiguriert werden, bevor die Kerberos-Datenbank erstellt wird : gkadmin: Feature für den automatischen Umbruch eignet sich nicht für die japanische Sprache. Die kontextsensitive Hilfe von gkadmin bricht Zeilen auf eine Weise um, die für die japanischen Sprachumgebungen ungeeignet ist; das Ergebnis sind unregelmäßige Zeilen : Datumsparser hat i18n-probleme Einige Zeichenfolgen zur Datumszerlegung sind nicht richtig für den internationalen Gebrauch vorbereitet; dies führt zu einem abweichenden Verhalten in nicht-englischen Sprachumgebungen. Außerdem werden bestimmte Annahmen zu Abkürzungen und Präfixen verwendet, die in nicht-englischen Sprachumgebungen falsch sind. Der Parser kann selbst dann von einer Abkürzung ausgehen, wenn keine verwendet wird. Dieses Problem steht in Zusammenhang mit : SEAM, l10n_euro, i18n, Verwaltungstool, Eingabefeld akzeptiert keine erweiterten Zeichen Ein Richtlinienname, der erweiterte 8-Bit-Zeichen enthält, wird bei der Eingabe in gkadmin zurückgewiesen. Verwenden Sie 7-Bit-Richtliniennamen : SEAM kann bestimmte lokalisierte Meldungen nicht anzeigen 12 SEAM Installation und Versionshinweise März 2000

13 Beim Systemtest hat sich herausgestellt, dass mehrere Fehlermeldungen nicht lokalisierbar waren. Diese Meldungen werden in Englisch angezeigt, obwohl eine Übersetzung verfügbar ist : inkonsistente Fehlermeldung vom Befehl rcp Der kerberosfähige rcp-befehl generiert eine andere und verwirrendere Fehlermeldung als der reguläre rcp-befehl in Solaris 8, wenn er keine Schreibberechtigung für eine Zieldatei besitzt : SEAM-Deinstallation hinterläßt Konfigurationsdateien Bei der Deinstallation von SEAM bleiben Konfigurationsdateien erhalten; der Benutzer wird nicht gefragt, ob dies das gewünschte Ergebnis ist. Möglicherweise müssen Sie /etc/pam.conf, /etc/krb5/warn.conf, /etc/krb5/krb5.conf und /etc/inet/inetd.conf bearbeiten, um den Deinstallationsvorgang abzuschließen : Kerberosfähiger ftpd-befehl unterstützt PAM nicht Der SEAM-Befehl ftpd unterstützt nicht wie die Solaris-Version das PAM-Framework. SEAM Produktübersicht 13

14 14 SEAM Installation und Versionshinweise März 2000

15 KAPITEL 2 SEAM-Installation Dieses Kapitel enthält eine Beschreibung der für die Installation des SEAM-Produkts notwendigen Schritte und sollte von jedem, der eine Installation durchführt, beachtet werden. Dieses Kapitel enthält die Verfahren zur Vorkonfiguration und zur Installation von SEAM. Das erste Verfahren gestattet die Vorkonfiguration vieler sitespezifischer Daten, so dass die Dateien als Teil des Installationsprozesses nicht manuell bearbeitet werden müssen; auch enthalten ist eine lokale Installation. Das zweite Verfahren führt die eigentliche Installation der SEAM-Software durch, wobei die Informationen der Vorkonfiguration verwendet werden. Folgende Themen werden in diesem Kapitel behandelt: 4 Inhalt des SEAM-Package auf Seite 15 4 Installieren der SEAM-Software auf Seite 18 4 Deinstallieren von SEAM auf Seite 31 Inhalt des SEAM-Package Die SEAM-Software kann entweder auf einem Client, einem KDC-Slave-Server oder auf einem KDC-Master-Server installiert werden. Jeder andere Servertyp (wie ein SEAM-Anwendungsserver oder ein SEAM NFS-Server) wird erst dann konfiguriert, wenn die Client-Software-Packages installiert sind. Jeder Installationstyp fügt ein oder mehrere Packages hinzu, von denen einige an Dateien Änderungen vornehmen, die für die Sicherheit des Systems von Bedeutung sind. 15

16 SEAM Client-Packages Die Client-Packages installieren die SEAM-Online-Dokumentation, die administrativen Anwendungen (kadmin und gkadmin), wie auch die kerberosfähigen Daemons und Dienstprogramme (zum Beispiel ftp und ftpd). Während des Installationsprozesses werden die folgenden Dateien bearbeitet: /etc/ inetd.conf, /etc/services, /etc/pam.conf und /etc/krb5/krb5.conf. Wenn Sie sitespezifische Änderungen für diese Dateien haben, sollten Sie nach der Installation die Inhalte der Dateien prüfen. Slave-KDC-Packages Der Installationsprozess für einen Slave-KDC installiert alle Client-Packages und ein zusätzliches Package mit Dienstprogrammen, die von jedem KDC-Server benötigt werden. Ein Startskript wird in /etc/init.d/kdc installiert, mit dem die Slave-KDC-Daemons gestartet werden. Auch werden die Dateien /etc/krb5/ kdc.conf und /etc/inetd.conf bearbeitet. Master-KDC-Packages Der Installationsprozess für einen Master-KDC installiert alle Client-Packages, das Slave-KDC-Package, und ein Package mit Dateien und Dienstprogrammen, die nur auf dem Master-KDC-Server benötigt werden. Der Prozess bearbeitet die crontab-datei für root und installiert ein Startskript in /etc/init.d/kdc.master. Eine Datei für die Steuerung des Zugriffs auf KDC /etc/krb5/kadm5.acl sowie eine Datei für die Steuerung des Zugriffs auf die KDC-Datenbank /etc/krb5/ kpropd.acl werden hinzugefügt. Die Absicherung dieser Dateien ist wichtig für die Sicherheit der KDC-Datenbank. Patches Die SEAM 1.0-Version enthielt viele Patches für die Korrektur der Solaris-Versionen 2.6 oder 7. Für die SEAM Version sind keine Patches vorhanden. 16 SEAM Installation und Versionshinweise März 2000

17 Aufgabenübersicht für die SEAM-Installation Um SEAM am besten zu nutzen, sollte die Produktinstallation in einer bestimmten Reihenfolge vorgenommen werden. Sie können diese Reihenfolge falls erforderlich ändern, aber dann müßten einige Schritte wiederholt werden, oder Sie müssen die Konfigurationsdateien manuell ändern. TABELLE 2 1 Erste Schritte: Reíhenfolge der SEAM-Konfiguration Aufgabe Beschreibung Anweisungen finden Sie unter Planen Sie Ihre SEAM-Installation 2. (Optional) Installieren Sie NTP 3. (Optional) Führen Sie die Vorkonfigurationsprozedur für SEAM aus 4. Führen Sie die Software- Installationsprozedur für SEAM aus Überlegen Sie die Fragen der Konfiguration und treffen Sie entsprechende Entscheidungen, bevor Sie den Software-Installationsprozess beginnen. Damit SEAM einwandfrei funktioniert, müssen die Uhren auf allen Systemen innerhalb des Bereichs synchronisiert werden. Um die Installation einer Site mit vielen Hosts einfacher zu gestalten, kann diese Prozedur ausgeführt werden, womit ein großer Teil der Installationsinformationen auf einem NFS-Server gespeichert wird. Diese Informationen können dann während der Installation benutzt werden. Installation der SEAM-Software-Packages auf einem Client oder einem Server Planungsaspekte für SEAM in Sun Enterprise Authentication Mechanism Handbuch Synchronisieren der Uhren zwischen KDCs und SEAM-Clients in Sun Enterprise Authentication Mechanism Handbuch Wie SEAM-Installationen vorkonfiguriert werden auf Seite 22 Wie Sie die SEAM-Software mithilfe der Benutzeroberfläche installieren auf Seite 27 SEAM-Installation 17

18 TABELLE 2 1 Erste Schritte: Reíhenfolge der SEAM-Konfiguration (fortgesetzt) Aufgabe Beschreibung Anweisungen finden Sie unter Konfigurieren Sie den Master-KDC-Server 6. Weitere Schritte zur Konfiguration von SEAM Schritte zum Konfigurieren und Erstellen des Master-KDC-Servers und der KDC-Datenbank für einen Bereich. Schritte zur Konfiguration von Slave-KDCs, SEAM-Clients, SEAM NFS-Servern und andere hilfreiche Aufgaben Konfigurieren von KDC-Servern in Sun Enterprise Authentication Mechanism Handbuch Aufgabenübersicht für die SEAM-Konfiguration. in Sun Enterprise Authentication Mechanism Handbuch Installieren der SEAM-Software Der Installationsprozess wird am besten nach folgendem Verfahren durchgeführt. Der erste Schritt ist das Einrichten eines beschreibbaren Speicherbereichs, in dem die während des Konfigurationsprozesses verwendeten Dateien abgelegt werden können. Dieses beschreibbare Dateisystem und eine Kopie der SEAM-Packages sollte an alle Systeme, die eine SEAM-Installation benötigen, exportiert werden können. Sie können eines von zwei Dingen tun: 1. Kopieren Sie die Solaris 8 Admin Pack-CD auf eine lokale Festplatte eines NFS-Servers, die exportiert werden kann siehe Wie das SEAM-Speicherabbild auf ein lokales Dateisystem kopiert wird auf Seite Hängen Sie ein beschreibbares Dateisystem auf der CD ein, und exportieren Sie beides siehe Wie ein beschreibbares Dateisystem auf der Admin Pack-CD eingehängt wird auf Seite 21. Nachdem ein beschreibbarer Bereich angelegt worden ist, werden im nächsten Schritt die für die Konfigurationsdateien benötigten Informationen definiert, so dass Sie diese Information nicht manuell eingeben müssen. Dieses Verfahren heißt Vorkonfiguration. Mit dem letzten Verfahren wird die SEAM-Software installiert, wobei die Vorkonfigurationsinformationen, soweit verfügbar, verwendet werden. 18 SEAM Installation und Versionshinweise März 2000

19 Das Verfahren, Konfigurationsdateien für Master-KDC, Slave-KDCs und SEAM-Clients einzurichten, ist optional, doch hat die Verwendung von Konfigurationsdateien für Sites mit vielen Systemen große Vorteile. 1. Die Daten müssen nur einmal eingegeben werden, so dass die Installationen schneller ablaufen. 2. Da die Konfigurationsdateien von allen Installationen gemeinsam genutzt werden, sind die Chancen, während einer Installation Fehler zu machen, verringert. Das in diesem Verfahren verwendete Tool sammelt Informationen wie den Bereichsnamen, die Namen der KDC-Server und andere wichtige Informationen, und speichert diese. Der nächste Schritt ist die Installation des SEAM-Produkts. Bevor Sie mit dem Installieren beginnen, müssen Sie ermitteln, welche Art von System Sie benötigen. Der Installationsprozess erlaubt Ihnen, eine Master-KDC-Installation, eine Slave-KDC-Installation oder eine SEAM-Client-Installation auszuwählen. Die Master-KDC-Packages sollten nur auf dem Master-KDC-Server installiert werden; genauso sollten die Slave-KDC-Packages nur auf Slave-KDC-Server installiert werden (siehe Wie Sie die SEAM-Software mithilfe der Benutzeroberfläche installieren auf Seite 27). Die SEAM-Client-Packages sollten auf jedem Host installiert werden, der SEAM erfordert. Diese Hosts können Netzwerk-Anwendungsserver, NFS-Server und alle Clients sein. Für die Installation der SEAM-Clients kann ein einfacheres Verfahren verwendet werden, wenn der Vorkonfigurationsprozess abgeschlossen worden ist (siehe Wie Sie die SEAM-Software ohne Benutzeroberfläche installieren auf Seite 30). Das letzte Verfahren in diesem Abschnitt erläutert, wie ein System korrigiert werden kann, bei dem die gesamte Software bereits installiert war, bevor der Vorkonfigurationsschritt abgeschlossen wurde. Das kann passieren, wenn die Standardinstallation von Solaris 8 Admin Pack durchgeführt wird, ohne zuvor den Vorkonfigurationsprozess auszuführen. Eine vollständige Erläuterung finden Sie unter Wie Sie ein nicht konfiguriertes System korrigieren auf Seite 31. Wie das SEAM-Speicherabbild auf ein lokales Dateisystem kopiert wird Wenn Sie die Solaris 8 Admin Pack-CD nicht auf einem Server eingehängt lassen möchten, während SEAM-Installationen durchgeführt werden, dann ist das Kopieren der Packages von der Admin Pack-CD der beste Weg, das Speicherabbild von Admin Pack zur Verfügung zu stellen. Die Packages benötigen ungefähr 50 MB Speicherplatz. Dieses Verfahren erfordert, dass Ihnen die Admin Pack-CD auf dem Server zur Verfügung steht. 1. Melden Sie sich auf einem NFS-Server als "root" an. SEAM-Installation 19

20 2. Kopieren Sie das SEAM-Speicherabbild von der Admin Pack-CD auf ein lokales Dateisystem. # cd /export # mkdir SEAM # cd /cdrom # find.install components/sun_enterprise_authentication_mechanism -print cpio -dump /export/seam Hinweis - Die letzte Zeile ist auf zwei Zeilen aufgeteilt, um sie lesbarer zu machen, sollte aber als ein Befehl eingegeben werden. 3. Exportieren Sie das Dateisystem. Um die Konfigurationsdateien für alle Installationen verfügbar zu machen, muss /export oder /export/seam als NFS-Mount für alle Hosts zur Verfügung stehen. a. Bearbeiten Sie die Datei /etc/dfs/dfstab. Fügen Sie den Eintrag /export oder /export/seam hinzu, falls dieser noch nicht existiert. share -f nfs -ro /export/seam b. Starten Sie die NFS-Services. Wenn dies der erste share-befehl oder die erste Gruppe von share-befehlen ist, die Sie eingeleitet haben, dann werden die NFS-Daemons wahrscheinlich noch nicht ausgeführt. Mit den folgenden Befehlen werden die Daemons beendet und neu gestartet. # /etc/init.d/nfs.server stop # /etc/init.d/nfs.server start 20 SEAM Installation und Versionshinweise März 2000

21 Wie es von hier aus weitergeht Nachdem jetzt ein Speicherbereich vorbereitet worden ist, in dem die Konfigurationsdatei gespeichert werden kann, können Sie die in Wie SEAM-Installationen vorkonfiguriert werden auf Seite 22 beschriebenen Schritte befolgen. Wie ein beschreibbares Dateisystem auf der Admin Pack-CD eingehängt wird Wenn Sie die Solaris 8 Admin Pack-CD auf dem Server belassen möchten, während SEAM-Installationen durchgeführt werden, müssen Sie ein beschreibbares Dateisystem auf der CD einhängen, um einen Bereich schaffen, in dem die Vorkonfigurationsinformationen gespeichert werden können. Dieses Verfahren erfordert, dass Ihnen die Admin Pack-CD auf dem Server zur Verfügung steht. 1. Melden Sie sich auf einem NFS-Server als "root" an. 2. Erstellen Sie ein Dateisystem für die Vorkonfigurationsdateien. # cd /export # mkdir SEAM_preconfig 3. Hängen Sie das Dateisystem auf der Admin Pack-CD ein. # SEAM=/cdrom/components/Sun_Enterprise_Authentication_Mechanism/\ >.install/pkgutil/siteconfig_response # mount -F lofs /export/seam_preconfig $SEAM 4. Exportieren Sie das Dateisystem. Um die Konfigurationsdateien für alle Installationen verfügbar zu machen, muss /export oder /export/seam als NFS-Mount für alle Hosts zur Verfügung stehen. a. Bearbeiten Sie die Datei /etc/dfs/dfstab. Fügen Sie den Eintrag /cdrom und für das neue Verzeichnis den Eintrag / export/seam_preconfig hinzu, falls noch keiner existiert. SEAM-Installation 21

22 share -f nfs -ro /cdrom share -f nfs -ro /export/seam_preconfig b. Starten Sie die NFS-Services. Wenn dies der erste share-befehl oder die erste Gruppe von share-befehlen ist, die Sie eingeleitet haben, dann werden die NFS-Daemons wahrscheinlich noch nicht ausgeführt. Mit den folgenden Befehlen werden die Daemons beendet und neu gestartet. # /etc/init.d/nfs.server stop # /etc/init.d/nfs.server start Wie es von hier aus weitergeht Nachdem jetzt ein Speicherbereich vorbereitet worden ist, in dem die Konfigurationsdatei gespeichert werden kann, können Sie die in Wie SEAM-Installationen vorkonfiguriert werden auf Seite 22 beschriebenen Schritte befolgen. Wie SEAM-Installationen vorkonfiguriert werden Dieses Verfahren kann befolgt werden, um bei der Konfiguration von KDCs oder SEAM-Clients vieles an benötigten Informationen vorzukonfigurieren. Wenn eine Vorkonfiguration benötigt wird, muss eine beschreibbares Dateisystem für die Vorkonfigurationsinformationen zur Verfügung stehen (siehe Wie das SEAM-Speicherabbild auf ein lokales Dateisystem kopiert wird auf Seite 19 oder Wie ein beschreibbares Dateisystem auf der Admin Pack-CD eingehängt wird auf Seite 21). Auf die im NFS-Dateisystem gespeicherten Informationen kann von jedem Host im Bereich während des Installationsverfahrens zugegriffen werden. Dieser Prozess ist optional, sollte aber bei großen Sites sehr hilfreich sein. Hinweis - Dieses Verfahren installiert SEAM mithilfe der Vorkonfigurationsinformationen auf dem NFS-Server, aber die SEAM-Anwendungen werden erst dann funktionieren, wenn wenigstens ein KDC-Master installiert ist. In diesem Verfahren werden die folgenden Konfigurationsparameter verwendet: 22 SEAM Installation und Versionshinweise März 2000

23 Hardware-Konfiguration = SPARC Bereichsname = ACME.COM DNS-Domainname = acme.com Master-KDC = kdc1.acme.com Slave-KDC = kdc1.acme.com AnswerBook-Server = denver Online-Hilfe-URL = Dateisystem mit SEAM-Packages = /export/seam 1. Melden Sie sich auf einem NFS-Server als "root" an. 2. Starten Sie den Installationsprozess. # cd /export/seam/components/sun_enterprise_authentication_mechanism #./installer Hinweis - Wenn Sie die CD für die Package-Installationen anstelle eines NFS-Servers verwenden, dann befindet sich das Installationsprogramm in: /net/ denver/cdrom/components/sun_enterprise_authentication_mechanism. 3. Klicken Sie im Begrüßungsbildschirm auf "Weiter". 4. Wählen Sie den Installationstyp aus. Auf dem nächsten Bildschirm werden Sie gebeten, eine Standard-Installation oder eine benutzerdefinierte Installation auszuwählen. Wählen Sie die benutzerdefinierte Installation, um zu den Vorkonfigurationsbildschirmen zu gelangen. Klicken Sie auf "Weiter" um fortzufahren. 5. Klicken Sie im Bildschirm "Sprachumgebung" auf "Weiter". 6. Wählen Sie die zu installierenden Software-Komponenten aus. Wenn der NFS-Server kein SEAM-Client werden soll, oder wenn Sie nur Vorkonfigurationsinformationen zusammenstellen, dann muss keine der Komponenten ausgewählt werden. Für einen Solaris 8-NFS-Server, der kerberosfähige NFS-Unterstützung zur Verfügung stellen soll, sind "5.8 Kernel-Modul" und "SEAM-Client" die einzigen Komponenten, die auszuwählen sind. Klicken Sie auf "Weiter" um fortzufahren. SEAM-Installation 23

24 7. Definieren Sie die Konfigurationsinformationen für die Site. Auf dem nächsten Bildschirm können Sie das Konfigurationsverfahren auswählen und auch Konfigurationsinformationen eingeben. a. Wählen Sie das Konfigurationsverfahren aus. Der obere Teil des Bildschirms erlaubt Ihnen die Auswahl der Art, wie der Computer konfiguriert wird. Wählen Sie hierfür die Option "Site-Informationen neu konfigurieren" aus. Sie haben die Wahl, folgendes zu tun: 4 Die bereits konfigurierten Site-Informationen verwenden Wählen Sie diese Option, nachdem der Vorkonfigurationsprozess abgeschlossen ist 4 Site-Informationen konfigurieren Wählen Sie diese Option, um neue Informationen einzugeben 4 Nur diesen Computer konfigurieren Wählen Sie diese Option, um neue Informationen für diesen Host einzugeben 4 Diesen Computer später konfigurieren Wählen Sie diese Option, wenn Sie sich nicht bei allen Konfigurationsparametern sicher sind, aber die Packages dennoch installieren möchten b. Benennen Sie das Verzeichnis für die Site-Konfiguration. Der Pfad sollte auf ein Dateisystem zeigen, das bei allen Systemen, die SEAM-Installationen erfordern, eingehängt werden kann. c. Geben Sie den Bereichsnamen an. Entsprechend einer Konvention wird der Bereichsname groß geschrieben, um ihn von anderen Domainnamen unterscheiden zu können. Für dieses Beispiel lautet der Domainname ACME.COM. d. Geben Sie die Namen für Master-KDC und Slave-KDCs an. Verwenden Sie voll qualifizierte Hostnamen. In diesem Beispiel sind die Hostnamen kdc1.acme.com für den Master und kdc2.acme.com für den Slave. Sie können soviele Slaves hinzufügen, wie benötigt werden. e. Geben Sie den DNS-Domainnamen für diesen Bereich ein. f. Geben Sie den URL für die Online-Hilfe an. Dieser URL wird vom SEAM-Verwaltungstool verwendet, daher sollte der URL richtig definiert werden, damit das Menü "Inhalt der Hilfe" funktioniert. Die Web-Version dieses Handbuchs kann auf jedem geeigneten AnswerBook2-Server installiert werden. Sie müssen den Eintrag für localhost ändern und nach dem SEAM-Teil der Adresse Informationen hinzufügen. Für dieses Beispiel sollte der URL auf coll.384.2/seam/@ab2pageview/6685 zeigen, es sei denn, eine andere 24 SEAM Installation und Versionshinweise März 2000

25 Stelle ist passender. Der Abschnitt mit dem Titel "SEAM-Verwaltungstool" im Kapitel "Verwalten von Hauptbenutzern und Richtlinien" im Sun Enterprise Authentication Mechanism Handbuch ist die dann zu verwendende Stelle. Sie können den URL überprüfen, indem Sie ihn in einem beliebigen Webbrowser eingeben und feststellen, ob die Seite zur Verfügung steht. Vergewissern Sie sich, dass die Solaris 8 Admin Pack-Dokumentation installiert worden ist, bevor Sie versuchen, den URL zu überprüfen. g. Geben Sie die maximale Lebensdauer von Tickets an. Wenn der Standardwert akzeptabel ist, ändern Sie ihn nicht. h. Geben Sie die maximale Lebensdauer von verlängerbaren Tickets an. Wenn der Standardwert akzeptabel ist, ändern Sie ihn nicht. i. Überprüfen Sie noch einmal die von Ihnen festgelegten Definitionen. Sind die Definitionen korrekt, klicken Sie auf "Weiter", um fortzufahren. Wenn Sie auf "Weiter" klicken, werden die Vorkonfigurationsinformationen im Konfigurationsverzeichnis gespeichert. SEAM-Installation 25

26 Hinweis - Nach diesem Schritt wird eine Überprüfung des Festplattenspeichers vorgenommen. Wenn genügend Speicherplatz vorhanden ist, brauchen Sie nichts weiter zu tun. 8. Klicken Sie auf "Jetzt installieren", um die Installation zu starten. 26 SEAM Installation und Versionshinweise März 2000

27 Der Bildschirm zeigt die ausgewählten Komponenten an. Wenn keine Komponenten ausgewählt wurden, und Sie nur die Vorkonfigurationsinformationen zusammenstellen, können Sie auf "Beenden" klicken. 9. Es wird eine Zusammenfassung des Installationsprozesses angezeigt. Klicken Sie auf "Weiter", um fortzufahren. 10. Weitere Informationen werden auf dem nächsten Bildschirm angezeigt. Klicken Sie auf "Beenden", um das Verfahren abzuschließen. Ein Fenster wird angezeigt, in dem Sie gefragt werden, ob Sie das System neu starten möchten. Ein Neustart ist erst dann erforderlich, wenn der Server SEAM verwenden muss. Wie Sie die SEAM-Software mithilfe der Benutzeroberfläche installieren In diesem Beispiel wird die SEAM-Masterserver-Installation ausgewählt, doch der Prozess ist für Slave- und Client-Installationen weitgehend identisch. Die SEAM-Packages sind auf /net/denver/export/seam installiert worden, obwohl diese auch auf einem lokalen Dateisystem hätten installiert werden können, oder Sie die Installation mithilfe der Admin Pack-CD hätten vornehmen können. SEAM-Client-Installationen können schneller gemacht werden, wenn Sie die Anweisungen unter Wie Sie die SEAM-Software ohne Benutzeroberfläche installieren auf Seite 30 befolgen. 1. Starten Sie das Installationsskript. # cd /net/denver/export/seam/components/sun_enterprise_authentication_mechanism #./installer 2. Klicken Sie im Begrüßungsbildschirm auf "Weiter". 3. Wählen Sie den Installationstyp aus. Auf dem nächsten Bildschirm werden Sie gebeten, eine Standard-Installation oder eine benutzerdefinierte Installation auszuwählen. Wählen Sie benutzerdefinierte Installation. Klicken Sie auf "Weiter", um fortzufahren. 4. Klicken Sie im Bildschirm "Sprachumgebung" auf "Weiter". SEAM-Installation 27

28 Derzeit können in dieser Version keine Sprachumgebungen ausgewählt werden. 5. Wählen Sie die zu installierenden Software-Komponenten aus. Wählen Sie bei einem Master das Master-Server-Package aus. Wählen Sie bei einem Slave das Slave-Server-Package aus. Andere Packages werden nach Bedarf hinzugefügt. Klicken Sie auf "Weiter", um fortzufahren. 6. Wählen Sie Konfigurationsverfahren und -verzeichnis aus. Auf dem nächsten Bildschirm können Sie das Konfigurationsverfahren auswählen und auch den Pfad auf die Konfigurationsdateien angeben. Wenn Sie vorkonfigurierte Site-Informationen haben, wählen Sie "Die bereits konfigurierten Site-Informationen verwenden", und geben Sie den Verzeichnispfad auf die Konfigurationsdateien an. 28 SEAM Installation und Versionshinweise März 2000

29 Hinweis - Nach diesem Schritt wird eine Überprüfung des Festplattenspeichers vorgenommen. Wenn genügend Speicherplatz vorhanden ist, brauchen Sie nichts weiter zu tun. SEAM-Installation 29

30 7. Klicken Sie auf "Jetzt installieren", um die Installation zu starten. Der Bildschirm zeigt die ausgewählten Komponenten an. 8. Es wird eine Zusammenfassung des Installationsprozesses angezeigt. Klicken Sie auf "Weiter", um fortzufahren. 9. Weitere Informationen werden auf dem nächsten Bildschirm angezeigt. Klicken Sie auf "Beenden", um das Verfahren abzuschließen. Wie es von hier aus weitergeht Der Sun Enterprise Authentication Mechanism Guide enthält eine Liste der Aufgaben, die erledigt werden können, nachdem die SEAM-Software installiert ist. Wie Sie die SEAM-Software ohne Benutzeroberfläche installieren SEAM-Clients können auch ohne Benutzeroberfläche installiert werden, wenn der Vorkonfigurationsprozess abgeschlossen ist. Die Benutzeroberfläche nicht zu verwenden bedeutet, dass Sie durch keine Bildschirme gehen müssen, so dass die Installation schneller ablaufen sollte. Da Sie keine der Bildschirme verwenden, sollten Sie vielleicht nur Client-Packages hinzufügen. Falls erforderlich, können Sie alle Clients installieren, bevor der Vorkonfigurationsprozess beendet ist, und dann das in Wie Sie ein nicht konfiguriertes System korrigieren auf Seite 31 genannte Skript verwenden, um die Konfiguration abzuschließen. 1. Melden Sie sich auf dem Client als root an. 2. Wechseln Sie das Verzeichnis auf den Vorkonfigurationsbereich. # cd /net/denver/export/seam/components/sun_enterprise_authentication_mechanism Hinweis - Um Packages von der CD zu laden, verwenden Sie den Pfad: /net/ denver/cdrom/components/sun_enterprise_authentication_mechanism. 3. Starten Sie das Installationsprogramm. #./installer -nodisplay 30 SEAM Installation und Versionshinweise März 2000

31 Wie Sie ein nicht konfiguriertes System korrigieren Wenn eine vollständige Installation durchgeführt wurde, ohne vorher die Vorkonfigurationsdateien zu erstellen, können Sie das System mithilfe des folgenden Verfahrens korrigieren. 1. Melden Sie sich auf dem System als "root" an. 2. Führen Sie das Skript zur Korrektur der Konfiguration aus. # cd /net/denver/export/seam/components/sun_enterprise_authentication_mechanism #./sparc/tools/seamfixconfig Hinweis - Wenn Sie die Solaris 8 Admin Pack-CD verwenden, würde der Pfad lauten: /net/denver/cdrom/components/ Sun_Enterprise_Authentication_Mechanism. Deinstallieren von SEAM SEAM, wie andere Produkte von Solaris 8 Admin Pack können mithilfe des Befehls prodreg deinstalliert werden. Weitere Informationen über dieses Dienstprogramm finden Sie unter Deinstallieren eines Produkts über die Registrierung in Solaris 8 Admin Pack-Installationshandbuch. Wenn Sie die SEAM-Packages mit prodreg oder pkgrm entfernen, werden an mehreren Dateien keine Änderungen vorgenommen, obwohl diese Dateien während des Installationsvorgangs verändert wurden. Möglicherweise müssen Sie /etc/ pam.conf, /etc/krb5/warn.conf, /etc/krb5/krb5.conf und /etc/inet/ inetd.conf bearbeiten, um den Deinstallationsvorgang abzuschließen. SEAM-Installation 31

32 Hinzufügungen zur Solaris Management Console Nach der Installation von SEAM können Sie das SEAM-Verwaltungstool über die Solaris Management Console (SMC) starten. Um die Benutzeroberfläche zu starten, doppelklicken Sie auf die Kategorie Sicherheit im linken Bereich des SMC-Fensters, und doppelklicken Sie auf das SEAM-Symbol im rechten Bereich. 32 SEAM Installation und Versionshinweise März 2000