Kerberos Single sign-on configureren voor Chrome-apparaten

Op het apparaat is ingesteld dat tickets een geldigheidsduur van 1 dag hebben, maar de Active Directory-server beperkt die geldigheid standaard tot 10 uur. Meer informatie over hoe je deze waarden wijzigt, vind je in het gedeelte Instellen hoe tickets worden opgehaald hierboven. Tickets kunnen ook automatisch worden verlengd zonder dat gebruikers hun gebruikersnaam en wachtwoord opnieuw hoeven in te voeren gedurende de periode die is ingesteld in renew_lifetime. Deze periode kan ook worden ingesteld op ChromeOS-apparaten en is beperkt tot een limiet die is ingesteld op de Active Directory-server, zoals beschreven in het gedeelte Instellen hoe tickets worden opgehaald hierboven. Op ChromeOS-apparaten is renew_lifetime standaard gelijk aan nul (0). Dit betekent dat tickets niet automatisch worden verlengd. Als een ticket verloopt en niet automatisch kan worden vernieuwd, zien gebruikers een bericht waarin staat dat ze het ticket handmatig moeten vernieuwen. Als gebruikers het actieve ticket laten verlopen, werkt Kerberos-verificatie pas weer als het ticket wordt vernieuwd.

1. Log in op een beheerd ChromeOS-apparaat als je dit nog niet hebt gedaan.
2. Selecteer rechtsonder de tijd.
3. Klik op Instellingen .
4. Klik in het gedeelte Kerberos op Kerberos-tickets.
5. Zoek het ticket dat je wilt vernieuwen.
6. Klik rechts op Meer Nu vernieuwen.
7. Voer je gebruikersnaam en wachtwoord voor Active Directory in.
   Opmerking: ChromeOS ondersteunt alleen de indeling gebruiker@domein, niet de indeling domein/gebruiker.
8. (Optioneel) Als je het ticket automatisch wilt vernieuwen, vink je het vakje aan voor Wachtwoord onthouden.
9. (Optioneel) Bewerk het configuratiebestand:
   1. Klik op Geavanceerd.
   2. Wijzig Kerberos-configuratiegegevens, zoals de levensduur van het ticket, versleutelingstypen en domeintoewijzingen. Ga naar het gedeelte Instellen hoe tickets worden opgehaald hierboven voor meer informatie.
   3. Klik op Opslaan.
10. Klik op Vernieuwen.

Aanvullende informatie

• Als het beleid om automatisch tickets toe te voegen tijdens het inloggen is ingesteld voor de gebruiker, is het volgende van toepassing:
  • Het inlogwachtwoord wordt gebruikt als het Active Directory-wachtwoord.
  • Het ticket kan niet automatisch worden gemaakt als gebruikers inloggen zonder wachtwoord, bijvoorbeeld met een pincode of vingerafdruk. In die gevallen moet de gebruiker het ticket handmatig vernieuwen door het Active Directory-wachtwoord in te voeren op de instellingenpagina.
  • Als het apparaat wordt vergrendeld/ontgrendeld, wordt het ticket niet automatisch vernieuwd.
  • Gebruikers kunnen een wachtwoord niet behouden terwijl ze een ticket vernieuwen dat automatisch is toegevoegd door een beleidsregel. Bij automatische vernieuwing van deze tickets wordt altijd het inlogwachtwoord gebruikt.
• ChromeOS-apparaten proberen tickets waarvoor een wachtwoord is opgeslagen automatisch te vernieuwen. Dit kan het inlogwachtwoord zijn voor door beleid gemaakte tickets of het onthouden wachtwoord voor handmatig gemaakte tickets.
• Er is geen garantie dat tickets elke keer automatisch worden vernieuwd, omdat alle geplande vernieuwingspogingen kunnen mislukken. Dit kan bijvoorbeeld gebeuren als het apparaat in de slaapmodus wordt gezet of als er netwerkproblemen zijn. In dat geval moeten gebruikers het ticket handmatig vernieuwen op de instellingenpagina. Of ze moeten uitloggen en weer inloggen als dit is ingesteld door het beleid, om automatisch een nieuw ticket te krijgen.

1. Log in op een beheerd ChromeOS-apparaat als je dit nog niet hebt gedaan.
2. Selecteer rechtsonder de tijd.
3. Klik op Instellingen .
4. Klik in het gedeelte Mensen op Kerberos-tickets.
5. Zoek het ticket dat je wilt verwijderen.
6. Klik rechts op Meer Verwijderen van dit apparaat.

Gebruikers kunnen de Kerberos-configuratie, krb5.conf, aanpassen als ze een nieuw ticket toevoegen of een bestaand ticket vernieuwen. De ChromeOS-code die communiceert met het Kerberos Key Distribution Center (KDC) is gebaseerd op de Kerberos-bibliotheek van MIT. Bekijk de Kerberos-documentatie van MIT voor configuratiegegevens. Niet alle opties worden ondersteund.

Hier zie je een lijst met de opties die worden ondersteund in ChromeOS:

Sectie	Relatie
[libdefaults]	canonicalize clockskew default_tgs_enctypes default_tkt_enctypes dns_canonicalize_hostname dns_lookup_kdc extra_addresses forwardable ignore_acceptor_hostname kdc_default_options kdc_timesync noaddresses permitted_enctypes preferred_preauth_types proxiable rdns renew_lifetime ticket_lifetime udp_preference_limit
[realms]	admin_server auth_to_local kdc kpasswd_server master_kdc
[domain_realm]	Elke waarde
[capaths]	Elke waarde

Voorbeeld: een andere levensduur voor een ticket aanvragen

[libdefaults]

        ticket_lifetime = 16h

In dit voorbeeld wordt een ticket aangevraagd dat 16 uur geldig is. De levensduur kan beperkt zijn aan de serverzijde, waar de standaard 10 uur is.

Ga als volgt te werk om de limiet aan de serverzijde te wijzigen:

1. Open de console Groepsbeleidbeheer.
2. Ga naar InstellingenBeveiligingsinstellingenAccountbeleidKerberos-beleid.
3. Pas het beleid Maximale levensduur van gebruikersticket aan.

Voorbeeld: een andere levensduur voor het verlengen van een ticket aanvragen

[libdefaults]

        renew_lifetime = 14d

In dit voorbeeld wordt een ticket aangevraagd dat 14 dagen kan worden verlengd. De levensduur voor verlenging kan beperkt zijn aan de serverzijde, waar de standaard 7 dagen is.

Ga als volgt te werk om de limiet aan de serverzijde te wijzigen:

1. Open de console Groepsbeleidbeheer.
2. Ga naar InstellingenBeveiligingsinstellingenAccountbeleidKerberos-beleid.
3. Pas het beleid Maximale levensduur voor vernieuwing van gebruikersticket aan.

Google dwingt standaard sterke AES-encryptie af. Als je een fout ziet over versleutelingstypen, is het mogelijk dat AES-encryptie niet werkt in bepaalde delen van je serveromgeving. We raden je aan dit op te lossen.

Je kunt ook overwegen de 3 regels voor default_tgs_enctypes, default_tkt_enctypes en permitted_enctypes te verwijderen uit de ontwikkelingsconfiguratie. Alle versleutelingstypen in de Kerberos-documentatie van MIT worden dan ingeschakeld, behalve de typen die als 'weak' (zwak) zijn gemarkeerd. Controleer of de gevolgen voor de beveiliging acceptabel voor je zijn. Sommige versleutelingstypen worden niet meer als 'strong' (sterk) beschouwd.

Nadat je hebt gecontroleerd of de reeks met alle versleutelingstypen werkt, raden we je aan de versleutelingstypen voor default_tgs_enctypes, default_tkt_enctypes en permitted_enctypes te beperken tot een acceptabele subreeks van typen om het beveiligingsrisico zo laag mogelijk te houden.

1. Controleer of je de juiste Kerberos-gebruikersnaam hebt ingevoerd.
   De Kerberos-gebruikersnaam, [email protected], bestaat uit het volgende:
   • Inlognaam van de gebruiker, ook wel sAMAccountName genoemd
   • Kerberos-realm, dat meestal overeenkomt met de Windows-domeinnaam
2. Controleer of de netwerkverbinding correct is ingesteld.
   Zorg dat de server kan worden bereikt vanaf het ChromeOS-apparaat via de standaard Kerberos-poort 88.
3. Controleer of DNS correct is ingesteld.
   Met Kerberos worden bepaalde DNS SRV-records opgevraagd om de DNS-domeinnaam van de Kerberos-service te vinden. Als het inlogdomein, of realm, bijvoorbeeld example.com is en de DNS-domeinnaam van de enige Kerberos-service dc.example.com is, moeten de volgende DNS SRV-records zijn toegevoegd:

Service	Protocol	Prioriteit	Gewicht	Poort	Doel (hostnaam)
_kerberos	_udp.dc._msdcs	0	100	88	dc.example.com
_kerberos	_tcp.dc._msdcs	0	100	88	dc.example.com
_kerberos	_udp	0	100	88	dc.example.com
_kerberos	_tcp	0	100	88	dc.example.com
_kerberos-master	_udp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_tcp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_udp	0	100	88	dc.example.com
_kerberos-master	_tcp	0	100	88	dc.example.com

Als je de DNS-instellingen niet kunt wijzigen, kun je deze toewijzingen toevoegen aan de Kerberos-configuratie.

Voorbeeld:

[realms]

        EXAMPLE.COM = {

            kdc = dc.example.com

        master_kdc = dc.example.com

}

Als je nog steeds problemen ervaart met het ophalen van Kerberos-tickets, verzamel je de systeemlogboeken. Verzamel indien mogelijk ook tcpdump- of wireshark-logboeken. Neem daarna contact op met support.