AIX 5L LDAP 用户管理

如果已将 default 节更改为 LDAP，这些本地定义的用户可能无法登录到 AIX 5L 操作系统，除非将他们的 SYSTEM 设置为 compat，registry 设置为 files。管理员需要找出这些帐户，并为每个用户运行下面的命令以进行相应的更改。 # chuser SYSTEM=compat registry=files <local user>

AIX 5L 操作系统的 passwd 命令支持更改 Windows 用户 unicodePwd 密码。如果 Windows Active Directory 需要通过 LDAP 进行密码更改，则必须通过安全连接来实现。有关在 AIX 5L 操作系统中配置 SSL 以使用 Active Directory 的详细信息，请参阅“Integrating AIX into Heterogeneous LDAP Environments”红皮书（参见参考资料部分）。要更改 unicodePwd 密码，AIX 5L 操作系统还需要 APAR IY91922。要检查是否安装了这个 APAR，可以运行下面的命令： # instfix -ik APAR IY91922

配置 AIX 5L 操作系统以通过 Windows 密钥分发中心使用 Kerberos 身份验证
除了通过 LDAP 对用户进行身份验证之外，AIX 5L 还支持通过 Kerberos 协议对 Windows 进行身份验证。使用 Kerberos 的好处是不需要通过网络传输密码，从而提高了安全性。Kerberos 和 LDAP 的结合允许通过 Windows 密钥分发中心 (KDC) 使用 Kerberos 进行用户身份验证，而 LDAP 用户标识通过 Active Directory 完成。因为用户信息来自于 Active Directory，所以不需要在 AIX 5L 操作系统上创建相应的用户标识。这种配置需要在 AIX 5L 操作系统上创建 KRB5ALDAP 复合加载模块。请按照下面的步骤配置 AIX 5L 操作系统。
安装 Network Authentication Services (NAS) 文件集。

必须从 AIX 5L Expansion Pack CD 中安装下面的 NAS 文件集：
krb5.client
krb5.lic
配置 AIX 5L 操作系统以使用 Windows KDC。
运行 configure.krb5 命令。 /usr/krb5/sbin/config.krb5 -C -r <Windows domain name> -d <DNS domain> -c
<Windows server name> -s <Windows server name>

例如： # /usr/krb5/sbin/config.krb5 -C -r ADDOMAIN.ABC.COM -d abc.com -c
win2003.abc.com -s win2003.abc.com
Initializing configuration...
Creating /etc/krb5/krb5_cfg_type...
Creating /etc/krb5/krb5.conf...
The command completed successfully.

对于 Kerberos 领域名，Windows KDC 要求其全部是大写字母。这些设置将会保存到 /etc/krb5/krb5.conf 文件。
Windows 仅支持 des-cbc-md5 和 des-cbc-crc 加密。编辑 /etc/krb5/krb5.conf 文件的 libdefaults 节以删除所有其他的加密机制，该节应该与如下所示类似： 
[libdefaults]
      default_realm = ADDOMAIN.ABC.COM
      default_keytab_name = FILE:/etc/krb5/krb5.keytab
      default_tkt_enctypes = des-cbc-md5 des-cbc-crc
      default_tgs_enctypes = des-cbc-md5 des-cbc-crc

同步 AIX 和 Windows 服务器的时钟。
使用有效的 Windows 用户运行 /usr/krb5/bin/kinit 命令，并确保该命令成功返回。还需确保 /usr/krb5/bin/klist 命令显示了该用户的 Kerberos 凭据，如下所示： # /usr/krb5/bin/kinit foo
Password for foo@ADDOMAIN.ABC.COM:  <enter password>
# /usr/krb5/bin/klist
Ticket cache:  FILE:/var/krb5/security/creds/krb5cc_0
Default principal:  foo@ADDOMAIN.ABC.COM

Valid starting     Expires            Service principal