doc/KerberizedServer

   1 If you want kerberized logins on a server you run, you'll need a '''keytab''' from accounts. Fill out the [http://web.mit.edu/accounts/www/srvtabform.html keytab request form], which sends them an e-mail.
   2
   3 They'll probably give you a srvtab, unless you specifically ask for a keytab. A srvtab is Kerberos 4 and a keytab is Kerberos 5; you probably have no use for a srvtab. It will be in {{{/mit/accounts/srvtabs/FOR_YOURUSERNAME}}}, which is AFS and vaguely insecure, so you should randomize the key before you use it.
   4
   5 You probably want to install it in {{{/etc/krb5.keytab}}}. (back up this file before proceeding if you already have one)
   6
   7 First, read the srvtab and write it out as a keytab:
   8 {{{
   9 $ ktutil
  10 ktutil: rst /mit/accounts/srvtabs/FOR_JOEUSER/joeserver-new-srvtab
  11 ktutil: wkt /etc/krb5.keytab
  12 ktutil: q
  13 }}}
  14
  15 Then randomize the key:
  16 {{{
  17 $ k5srvutil change
  18 }}}
  19
  20 Then make sure your {{{/etc/ssh/sshd_config}}} file includes the lines
  21
  22 {{{
  23 GSSAPIAuthentication yes
  24 GSSAPIKeyExchange yes
  25 }}}
  26
  27 This will let you SSH in with Kerberos.
  28
  29 Then create a file called {{{.k5login}}} in the home directory of whichever users you want to be able log into with Kerberos. List the full KerberosPrincipal of each user, one per line (e.g., {{{joeuser@ATHENA.MIT.EDU}}})