doc/html/admin/admin_commands/kdb5_util.html

   1 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
   2   "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
   3
   4
   5 <html xmlns="http://www.w3.org/1999/xhtml">
   6   <head>
   7     <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
   8
   9     <title>kdb5_util &mdash; MIT Kerberos Documentation</title>
  10
  11     <link rel="stylesheet" href="../../_static/agogo.css" type="text/css" />
  12     <link rel="stylesheet" href="../../_static/pygments.css" type="text/css" />
  13     <link rel="stylesheet" href="../../_static/kerb.css" type="text/css" />
  14
  15     <script type="text/javascript">
  16       var DOCUMENTATION_OPTIONS = {
  17         URL_ROOT:    '../../',
  18         VERSION:     '1.15.2',
  19         COLLAPSE_INDEX: false,
  20         FILE_SUFFIX: '.html',
  21         HAS_SOURCE:  true
  22       };
  23     </script>
  24     <script type="text/javascript" src="../../_static/jquery.js"></script>
  25     <script type="text/javascript" src="../../_static/underscore.js"></script>
  26     <script type="text/javascript" src="../../_static/doctools.js"></script>
  27     <link rel="author" title="About these documents" href="../../about.html" />
  28     <link rel="copyright" title="Copyright" href="../../copyright.html" />
  29     <link rel="top" title="MIT Kerberos Documentation" href="../../index.html" />
  30     <link rel="up" title="Administration programs" href="index.html" />
  31     <link rel="next" title="kdb5_ldap_util" href="kdb5_ldap_util.html" />
  32     <link rel="prev" title="kadmind" href="kadmind.html" />
  33   </head>
  34   <body>
  35     <div class="header-wrapper">
  36         <div class="header">
  37
  38
  39             <h1><a href="../../index.html">MIT Kerberos Documentation</a></h1>
  40
  41             <div class="rel">
  42
  43         <a href="../../index.html" title="Full Table of Contents"
  44             accesskey="C">Contents</a> |
  45         <a href="kadmind.html" title="kadmind"
  46             accesskey="P">previous</a> |
  47         <a href="kdb5_ldap_util.html" title="kdb5_ldap_util"
  48             accesskey="N">next</a> |
  49         <a href="../../genindex.html" title="General Index"
  50             accesskey="I">index</a> |
  51         <a href="../../search.html" title="Enter search criteria"
  52             accesskey="S">Search</a> |
  53     <a href="mailto:krb5-bugs@mit.edu?subject=Documentation__kdb5_util">feedback</a>
  54             </div>
  55         </div>
  56     </div>
  57
  58     <div class="content-wrapper">
  59       <div class="content">
  60         <div class="document">
  61
  62       <div class="documentwrapper">
  63         <div class="bodywrapper">
  64           <div class="body">
  65
  66   <div class="section" id="kdb5-util">
  67 <span id="kdb5-util-8"></span><h1>kdb5_util<a class="headerlink" href="#kdb5-util" title="Permalink to this headline">¶</a></h1>
  68 <div class="section" id="synopsis">
  69 <h2>SYNOPSIS<a class="headerlink" href="#synopsis" title="Permalink to this headline">¶</a></h2>
  70 <p id="kdb5-util-synopsis"><strong>kdb5_util</strong>
  71 [<strong>-r</strong> <em>realm</em>]
  72 [<strong>-d</strong> <em>dbname</em>]
  73 [<strong>-k</strong> <em>mkeytype</em>]
  74 [<strong>-M</strong> <em>mkeyname</em>]
  75 [<strong>-kv</strong> <em>mkeyVNO</em>]
  76 [<strong>-sf</strong> <em>stashfilename</em>]
  77 [<strong>-m</strong>]
  78 <em>command</em> [<em>command_options</em>]</p>
  79 </div>
  80 <div class="section" id="description">
  81 <span id="kdb5-util-synopsis-end"></span><h2>DESCRIPTION<a class="headerlink" href="#description" title="Permalink to this headline">¶</a></h2>
  82 <p>kdb5_util allows an administrator to perform maintenance procedures on
  83 the KDC database.  Databases can be created, destroyed, and dumped to
  84 or loaded from ASCII files.  kdb5_util can create a Kerberos master
  85 key stash file or perform live rollover of the master key.</p>
  86 <p>When kdb5_util is run, it attempts to acquire the master key and open
  87 the database.  However, execution continues regardless of whether or
  88 not kdb5_util successfully opens the database, because the database
  89 may not exist yet or the stash file may be corrupt.</p>
  90 <p>Note that some KDC database modules may not support all kdb5_util
  91 commands.</p>
  92 </div>
  93 <div class="section" id="command-line-options">
  94 <h2>COMMAND-LINE OPTIONS<a class="headerlink" href="#command-line-options" title="Permalink to this headline">¶</a></h2>
  95 <dl class="docutils" id="kdb5-util-options">
  96 <dt><strong>-r</strong> <em>realm</em></dt>
  97 <dd>specifies the Kerberos realm of the database.</dd>
  98 <dt><strong>-d</strong> <em>dbname</em></dt>
  99 <dd>specifies the name under which the principal database is stored;
 100 by default the database is that listed in <a class="reference internal" href="../conf_files/kdc_conf.html#kdc-conf-5"><em>kdc.conf</em></a>.  The
 101 password policy database and lock files are also derived from this
 102 value.</dd>
 103 <dt><strong>-k</strong> <em>mkeytype</em></dt>
 104 <dd>specifies the key type of the master key in the database.  The
 105 default is given by the <strong>master_key_type</strong> variable in
 106 <a class="reference internal" href="../conf_files/kdc_conf.html#kdc-conf-5"><em>kdc.conf</em></a>.</dd>
 107 <dt><strong>-kv</strong> <em>mkeyVNO</em></dt>
 108 <dd>Specifies the version number of the master key in the database;
 109 the default is 1.  Note that 0 is not allowed.</dd>
 110 <dt><strong>-M</strong> <em>mkeyname</em></dt>
 111 <dd>principal name for the master key in the database.  If not
 112 specified, the name is determined by the <strong>master_key_name</strong>
 113 variable in <a class="reference internal" href="../conf_files/kdc_conf.html#kdc-conf-5"><em>kdc.conf</em></a>.</dd>
 114 <dt><strong>-m</strong></dt>
 115 <dd>specifies that the master database password should be read from
 116 the keyboard rather than fetched from a file on disk.</dd>
 117 <dt><strong>-sf</strong> <em>stash_file</em></dt>
 118 <dd>specifies the stash filename of the master database password.  If
 119 not specified, the filename is determined by the
 120 <strong>key_stash_file</strong> variable in <a class="reference internal" href="../conf_files/kdc_conf.html#kdc-conf-5"><em>kdc.conf</em></a>.</dd>
 121 <dt><strong>-P</strong> <em>password</em></dt>
 122 <dd>specifies the master database password.  Using this option may
 123 expose the password to other users on the system via the process
 124 list.</dd>
 125 </dl>
 126 </div>
 127 <div class="section" id="commands">
 128 <span id="kdb5-util-options-end"></span><h2>COMMANDS<a class="headerlink" href="#commands" title="Permalink to this headline">¶</a></h2>
 129 <div class="section" id="create">
 130 <h3>create<a class="headerlink" href="#create" title="Permalink to this headline">¶</a></h3>
 131 <blockquote id="kdb5-util-create">
 132 <div><strong>create</strong> [<strong>-s</strong>]</div></blockquote>
 133 <p>Creates a new database.  If the <strong>-s</strong> option is specified, the stash
 134 file is also created.  This command fails if the database already
 135 exists.  If the command is successful, the database is opened just as
 136 if it had already existed when the program was first run.</p>
 137 </div>
 138 <div class="section" id="destroy">
 139 <span id="kdb5-util-create-end"></span><h3>destroy<a class="headerlink" href="#destroy" title="Permalink to this headline">¶</a></h3>
 140 <blockquote id="kdb5-util-destroy">
 141 <div><strong>destroy</strong> [<strong>-f</strong>]</div></blockquote>
 142 <p>Destroys the database, first overwriting the disk sectors and then
 143 unlinking the files, after prompting the user for confirmation.  With
 144 the <strong>-f</strong> argument, does not prompt the user.</p>
 145 </div>
 146 <div class="section" id="stash">
 147 <span id="kdb5-util-destroy-end"></span><h3>stash<a class="headerlink" href="#stash" title="Permalink to this headline">¶</a></h3>
 148 <blockquote id="kdb5-util-stash">
 149 <div><strong>stash</strong> [<strong>-f</strong> <em>keyfile</em>]</div></blockquote>
 150 <p>Stores the master principal&#8217;s keys in a stash file.  The <strong>-f</strong>
 151 argument can be used to override the <em>keyfile</em> specified in
 152 <a class="reference internal" href="../conf_files/kdc_conf.html#kdc-conf-5"><em>kdc.conf</em></a>.</p>
 153 </div>
 154 <div class="section" id="dump">
 155 <span id="kdb5-util-stash-end"></span><h3>dump<a class="headerlink" href="#dump" title="Permalink to this headline">¶</a></h3>
 156 <blockquote id="kdb5-util-dump">
 157 <div><strong>dump</strong> [<strong>-b7</strong>|<strong>-ov</strong>|<strong>-r13</strong>] [<strong>-verbose</strong>]
 158 [<strong>-mkey_convert</strong>] [<strong>-new_mkey_file</strong> <em>mkey_file</em>] [<strong>-rev</strong>]
 159 [<strong>-recurse</strong>] [<em>filename</em> [<em>principals</em>...]]</div></blockquote>
 160 <p>Dumps the current Kerberos and KADM5 database into an ASCII file.  By
 161 default, the database is dumped in current format, &#8220;kdb5_util
 162 load_dump version 7&#8221;.  If filename is not specified, or is the string
 163 &#8220;-&#8221;, the dump is sent to standard output.  Options:</p>
 164 <dl class="docutils">
 165 <dt><strong>-b7</strong></dt>
 166 <dd>causes the dump to be in the Kerberos 5 Beta 7 format (&#8220;kdb5_util
 167 load_dump version 4&#8221;).  This was the dump format produced on
 168 releases prior to 1.2.2.</dd>
 169 <dt><strong>-ov</strong></dt>
 170 <dd>causes the dump to be in &#8220;ovsec_adm_export&#8221; format.</dd>
 171 <dt><strong>-r13</strong></dt>
 172 <dd>causes the dump to be in the Kerberos 5 1.3 format (&#8220;kdb5_util
 173 load_dump version 5&#8221;).  This was the dump format produced on
 174 releases prior to 1.8.</dd>
 175 <dt><strong>-r18</strong></dt>
 176 <dd>causes the dump to be in the Kerberos 5 1.8 format (&#8220;kdb5_util
 177 load_dump version 6&#8221;).  This was the dump format produced on
 178 releases prior to 1.11.</dd>
 179 <dt><strong>-verbose</strong></dt>
 180 <dd>causes the name of each principal and policy to be printed as it
 181 is dumped.</dd>
 182 <dt><strong>-mkey_convert</strong></dt>
 183 <dd>prompts for a new master key.  This new master key will be used to
 184 re-encrypt principal key data in the dumpfile.  The principal keys
 185 themselves will not be changed.</dd>
 186 <dt><strong>-new_mkey_file</strong> <em>mkey_file</em></dt>
 187 <dd>the filename of a stash file.  The master key in this stash file
 188 will be used to re-encrypt the key data in the dumpfile.  The key
 189 data in the database will not be changed.</dd>
 190 <dt><strong>-rev</strong></dt>
 191 <dd>dumps in reverse order.  This may recover principals that do not
 192 dump normally, in cases where database corruption has occurred.</dd>
 193 <dt><strong>-recurse</strong></dt>
 194 <dd><p class="first">causes the dump to walk the database recursively (btree only).
 195 This may recover principals that do not dump normally, in cases
 196 where database corruption has occurred.  In cases of such
 197 corruption, this option will probably retrieve more principals
 198 than the <strong>-rev</strong> option will.</p>
 199 <div class="versionchanged">
 200 <p><span class="versionmodified">Changed in version 1.15: </span>Release 1.15 restored the functionality of the <strong>-recurse</strong>
 201 option.</p>
 202 </div>
 203 <div class="last versionchanged">
 204 <p><span class="versionmodified">Changed in version 1.5: </span>The <strong>-recurse</strong> option ceased working until release 1.15,
 205 doing a normal dump instead of a recursive traversal.</p>
 206 </div>
 207 </dd>
 208 </dl>
 209 </div>
 210 <div class="section" id="load">
 211 <span id="kdb5-util-dump-end"></span><h3>load<a class="headerlink" href="#load" title="Permalink to this headline">¶</a></h3>
 212 <blockquote id="kdb5-util-load">
 213 <div><strong>load</strong> [<strong>-b7</strong>|<strong>-ov</strong>|<strong>-r13</strong>] [<strong>-hash</strong>]
 214 [<strong>-verbose</strong>] [<strong>-update</strong>] <em>filename</em> [<em>dbname</em>]</div></blockquote>
 215 <p>Loads a database dump from the named file into the named database.  If
 216 no option is given to determine the format of the dump file, the
 217 format is detected automatically and handled as appropriate.  Unless
 218 the <strong>-update</strong> option is given, <strong>load</strong> creates a new database
 219 containing only the data in the dump file, overwriting the contents of
 220 any previously existing database.  Note that when using the LDAP KDC
 221 database module, the <strong>-update</strong> flag is required.</p>
 222 <p>Options:</p>
 223 <dl class="docutils">
 224 <dt><strong>-b7</strong></dt>
 225 <dd>requires the database to be in the Kerberos 5 Beta 7 format
 226 (&#8220;kdb5_util load_dump version 4&#8221;).  This was the dump format
 227 produced on releases prior to 1.2.2.</dd>
 228 <dt><strong>-ov</strong></dt>
 229 <dd>requires the database to be in &#8220;ovsec_adm_import&#8221; format.  Must be
 230 used with the <strong>-update</strong> option.</dd>
 231 <dt><strong>-r13</strong></dt>
 232 <dd>requires the database to be in Kerberos 5 1.3 format (&#8220;kdb5_util
 233 load_dump version 5&#8221;).  This was the dump format produced on
 234 releases prior to 1.8.</dd>
 235 <dt><strong>-r18</strong></dt>
 236 <dd>requires the database to be in Kerberos 5 1.8 format (&#8220;kdb5_util
 237 load_dump version 6&#8221;).  This was the dump format produced on
 238 releases prior to 1.11.</dd>
 239 <dt><strong>-hash</strong></dt>
 240 <dd>requires the database to be stored as a hash.  If this option is
 241 not specified, the database will be stored as a btree.  This
 242 option is not recommended, as databases stored in hash format are
 243 known to corrupt data and lose principals.</dd>
 244 <dt><strong>-verbose</strong></dt>
 245 <dd>causes the name of each principal and policy to be printed as it
 246 is dumped.</dd>
 247 <dt><strong>-update</strong></dt>
 248 <dd>records from the dump file are added to or updated in the existing
 249 database.  Otherwise, a new database is created containing only
 250 what is in the dump file and the old one destroyed upon successful
 251 completion.</dd>
 252 </dl>
 253 <p>If specified, <em>dbname</em> overrides the value specified on the command
 254 line or the default.</p>
 255 </div>
 256 <div class="section" id="ark">
 257 <span id="kdb5-util-load-end"></span><h3>ark<a class="headerlink" href="#ark" title="Permalink to this headline">¶</a></h3>
 258 <blockquote>
 259 <div><strong>ark</strong> [<strong>-e</strong> <em>enc</em>:<em>salt</em>,...] <em>principal</em></div></blockquote>
 260 <p>Adds new random keys to <em>principal</em> at the next available key version
 261 number.  Keys for the current highest key version number will be
 262 preserved.  The <strong>-e</strong> option specifies the list of encryption and
 263 salt types to be used for the new keys.</p>
 264 </div>
 265 <div class="section" id="add-mkey">
 266 <h3>add_mkey<a class="headerlink" href="#add-mkey" title="Permalink to this headline">¶</a></h3>
 267 <blockquote>
 268 <div><strong>add_mkey</strong> [<strong>-e</strong> <em>etype</em>] [<strong>-s</strong>]</div></blockquote>
 269 <p>Adds a new master key to the master key principal, but does not mark
 270 it as active.  Existing master keys will remain.  The <strong>-e</strong> option
 271 specifies the encryption type of the new master key; see
 272 <a class="reference internal" href="../conf_files/kdc_conf.html#encryption-types"><em>Encryption types</em></a> in <a class="reference internal" href="../conf_files/kdc_conf.html#kdc-conf-5"><em>kdc.conf</em></a> for a list of possible
 273 values.  The <strong>-s</strong> option stashes the new master key in the stash
 274 file, which will be created if it doesn&#8217;t already exist.</p>
 275 <p>After a new master key is added, it should be propagated to slave
 276 servers via a manual or periodic invocation of <a class="reference internal" href="kprop.html#kprop-8"><em>kprop</em></a>.  Then,
 277 the stash files on the slave servers should be updated with the
 278 kdb5_util <strong>stash</strong> command.  Once those steps are complete, the key
 279 is ready to be marked active with the kdb5_util <strong>use_mkey</strong> command.</p>
 280 </div>
 281 <div class="section" id="use-mkey">
 282 <h3>use_mkey<a class="headerlink" href="#use-mkey" title="Permalink to this headline">¶</a></h3>
 283 <blockquote>
 284 <div><strong>use_mkey</strong> <em>mkeyVNO</em> [<em>time</em>]</div></blockquote>
 285 <p>Sets the activation time of the master key specified by <em>mkeyVNO</em>.
 286 Once a master key becomes active, it will be used to encrypt newly
 287 created principal keys.  If no <em>time</em> argument is given, the current
 288 time is used, causing the specified master key version to become
 289 active immediately.  The format for <em>time</em> is <a class="reference internal" href="../../basic/date_format.html#getdate"><em>getdate time</em></a> string.</p>
 290 <p>After a new master key becomes active, the kdb5_util
 291 <strong>update_princ_encryption</strong> command can be used to update all
 292 principal keys to be encrypted in the new master key.</p>
 293 </div>
 294 <div class="section" id="list-mkeys">
 295 <h3>list_mkeys<a class="headerlink" href="#list-mkeys" title="Permalink to this headline">¶</a></h3>
 296 <blockquote>
 297 <div><strong>list_mkeys</strong></div></blockquote>
 298 <p>List all master keys, from most recent to earliest, in the master key
 299 principal.  The output will show the kvno, enctype, and salt type for
 300 each mkey, similar to the output of <a class="reference internal" href="kadmin_local.html#kadmin-1"><em>kadmin</em></a> <strong>getprinc</strong>.  A
 301 <tt class="docutils literal"><span class="pre">*</span></tt> following an mkey denotes the currently active master key.</p>
 302 </div>
 303 <div class="section" id="purge-mkeys">
 304 <h3>purge_mkeys<a class="headerlink" href="#purge-mkeys" title="Permalink to this headline">¶</a></h3>
 305 <blockquote>
 306 <div><strong>purge_mkeys</strong> [<strong>-f</strong>] [<strong>-n</strong>] [<strong>-v</strong>]</div></blockquote>
 307 <p>Delete master keys from the master key principal that are not used to
 308 protect any principals.  This command can be used to remove old master
 309 keys all principal keys are protected by a newer master key.</p>
 310 <dl class="docutils">
 311 <dt><strong>-f</strong></dt>
 312 <dd>does not prompt for confirmation.</dd>
 313 <dt><strong>-n</strong></dt>
 314 <dd>performs a dry run, showing master keys that would be purged, but
 315 not actually purging any keys.</dd>
 316 <dt><strong>-v</strong></dt>
 317 <dd>gives more verbose output.</dd>
 318 </dl>
 319 </div>
 320 <div class="section" id="update-princ-encryption">
 321 <h3>update_princ_encryption<a class="headerlink" href="#update-princ-encryption" title="Permalink to this headline">¶</a></h3>
 322 <blockquote>
 323 <div><strong>update_princ_encryption</strong> [<strong>-f</strong>] [<strong>-n</strong>] [<strong>-v</strong>]
 324 [<em>princ-pattern</em>]</div></blockquote>
 325 <p>Update all principal records (or only those matching the
 326 <em>princ-pattern</em> glob pattern) to re-encrypt the key data using the
 327 active database master key, if they are encrypted using a different
 328 version, and give a count at the end of the number of principals
 329 updated.  If the <strong>-f</strong> option is not given, ask for confirmation
 330 before starting to make changes.  The <strong>-v</strong> option causes each
 331 principal processed to be listed, with an indication as to whether it
 332 needed updating or not.  The <strong>-n</strong> option performs a dry run, only
 333 showing the actions which would have been taken.</p>
 334 </div>
 335 <div class="section" id="tabdump">
 336 <h3>tabdump<a class="headerlink" href="#tabdump" title="Permalink to this headline">¶</a></h3>
 337 <blockquote>
 338 <div><strong>tabdump</strong> [<strong>-H</strong>] [<strong>-c</strong>] [<strong>-e</strong>] [<strong>-n</strong>] [<strong>-o</strong> <em>outfile</em>]
 339 <em>dumptype</em></div></blockquote>
 340 <p>Dump selected fields of the database in a tabular format suitable for
 341 reporting (e.g., using traditional Unix text processing tools) or
 342 importing into relational databases.  The data format is tab-separated
 343 (default), or optionally comma-separated (CSV), with a fixed number of
 344 columns.  The output begins with a header line containing field names,
 345 unless suppression is requested using the <strong>-H</strong> option.</p>
 346 <p>The <em>dumptype</em> parameter specifies the name of an output table (see
 347 below).</p>
 348 <p>Options:</p>
 349 <dl class="docutils">
 350 <dt><strong>-H</strong></dt>
 351 <dd>suppress writing the field names in a header line</dd>
 352 <dt><strong>-c</strong></dt>
 353 <dd>use comma separated values (CSV) format, with minimal quoting,
 354 instead of the default tab-separated (unquoted, unescaped) format</dd>
 355 <dt><strong>-e</strong></dt>
 356 <dd>write empty hexadecimal string fields as empty fields instead of
 357 as &#8220;-1&#8221;.</dd>
 358 <dt><strong>-n</strong></dt>
 359 <dd>produce numeric output for fields that normally have symbolic
 360 output, such as enctypes and flag names.  Also requests output of
 361 time stamps as decimal POSIX time_t values.</dd>
 362 <dt><strong>-o</strong> <em>outfile</em></dt>
 363 <dd>write the dump to the specified output file instead of to standard
 364 output</dd>
 365 </dl>
 366 <p>Dump types:</p>
 367 <dl class="docutils">
 368 <dt><strong>keydata</strong></dt>
 369 <dd><p class="first">principal encryption key information, including actual key data
 370 (which is still encrypted in the master key)</p>
 371 <dl class="last docutils">
 372 <dt><strong>name</strong></dt>
 373 <dd>principal name</dd>
 374 <dt><strong>keyindex</strong></dt>
 375 <dd>index of this key in the principal&#8217;s key list</dd>
 376 <dt><strong>kvno</strong></dt>
 377 <dd>key version number</dd>
 378 <dt><strong>enctype</strong></dt>
 379 <dd>encryption type</dd>
 380 <dt><strong>key</strong></dt>
 381 <dd>key data as a hexadecimal string</dd>
 382 <dt><strong>salttype</strong></dt>
 383 <dd>salt type</dd>
 384 <dt><strong>salt</strong></dt>
 385 <dd>salt data as a hexadecimal string</dd>
 386 </dl>
 387 </dd>
 388 <dt><strong>keyinfo</strong></dt>
 389 <dd>principal encryption key information (as in <strong>keydata</strong> above),
 390 excluding actual key data</dd>
 391 <dt><strong>princ_flags</strong></dt>
 392 <dd><p class="first">principal boolean attributes.  Flag names print as hexadecimal
 393 numbers if the <strong>-n</strong> option is specified, and all flag positions
 394 are printed regardless of whether or not they are set.  If <strong>-n</strong>
 395 is not specified, print all known flag names for each principal,
 396 but only print hexadecimal flag names if the corresponding flag is
 397 set.</p>
 398 <dl class="last docutils">
 399 <dt><strong>name</strong></dt>
 400 <dd>principal name</dd>
 401 <dt><strong>flag</strong></dt>
 402 <dd>flag name</dd>
 403 <dt><strong>value</strong></dt>
 404 <dd>boolean value (0 for clear, or 1 for set)</dd>
 405 </dl>
 406 </dd>
 407 <dt><strong>princ_lockout</strong></dt>
 408 <dd><p class="first">state information used for tracking repeated password failures</p>
 409 <dl class="last docutils">
 410 <dt><strong>name</strong></dt>
 411 <dd>principal name</dd>
 412 <dt><strong>last_success</strong></dt>
 413 <dd>time stamp of most recent successful authentication</dd>
 414 <dt><strong>last_failed</strong></dt>
 415 <dd>time stamp of most recent failed authentication</dd>
 416 <dt><strong>fail_count</strong></dt>
 417 <dd>count of failed attempts</dd>
 418 </dl>
 419 </dd>
 420 <dt><strong>princ_meta</strong></dt>
 421 <dd><p class="first">principal metadata</p>
 422 <dl class="last docutils">
 423 <dt><strong>name</strong></dt>
 424 <dd>principal name</dd>
 425 <dt><strong>modby</strong></dt>
 426 <dd>name of last principal to modify this principal</dd>
 427 <dt><strong>modtime</strong></dt>
 428 <dd>timestamp of last modification</dd>
 429 <dt><strong>lastpwd</strong></dt>
 430 <dd>timestamp of last password change</dd>
 431 <dt><strong>policy</strong></dt>
 432 <dd>policy object name</dd>
 433 <dt><strong>mkvno</strong></dt>
 434 <dd>key version number of the master key that encrypts this
 435 principal&#8217;s key data</dd>
 436 <dt><strong>hist_kvno</strong></dt>
 437 <dd>key version number of the history key that encrypts the key
 438 history data for this principal</dd>
 439 </dl>
 440 </dd>
 441 <dt><strong>princ_stringattrs</strong></dt>
 442 <dd><p class="first">string attributes (key/value pairs)</p>
 443 <dl class="last docutils">
 444 <dt><strong>name</strong></dt>
 445 <dd>principal name</dd>
 446 <dt><strong>key</strong></dt>
 447 <dd>attribute name</dd>
 448 <dt><strong>value</strong></dt>
 449 <dd>attribute value</dd>
 450 </dl>
 451 </dd>
 452 <dt><strong>princ_tktpolicy</strong></dt>
 453 <dd><p class="first">per-principal ticket policy data, including maximum ticket
 454 lifetimes</p>
 455 <dl class="last docutils">
 456 <dt><strong>name</strong></dt>
 457 <dd>principal name</dd>
 458 <dt><strong>expiration</strong></dt>
 459 <dd>principal expiration date</dd>
 460 <dt><strong>pw_expiration</strong></dt>
 461 <dd>password expiration date</dd>
 462 <dt><strong>max_life</strong></dt>
 463 <dd>maximum ticket lifetime</dd>
 464 <dt><strong>max_renew_life</strong></dt>
 465 <dd>maximum renewable ticket lifetime</dd>
 466 </dl>
 467 </dd>
 468 </dl>
 469 <p>Examples:</p>
 470 <div class="highlight-python"><div class="highlight"><pre>$ kdb5_util tabdump -o keyinfo.txt keyinfo
 471 $ cat keyinfo.txt
 472 name        keyindex        kvno    enctype salttype        salt
 473 foo@EXAMPLE.COM     0       1       aes128-cts-hmac-sha1-96 normal  -1
 474 bar@EXAMPLE.COM     0       1       aes128-cts-hmac-sha1-96 normal  -1
 475 bar@EXAMPLE.COM     1       1       des-cbc-crc     normal  -1
 476 $ sqlite3
 477 sqlite&gt; .mode tabs
 478 sqlite&gt; .import keyinfo.txt keyinfo
 479 sqlite&gt; select * from keyinfo where enctype like &#39;des-cbc-%&#39;;
 480 bar@EXAMPLE.COM     1       1       des-cbc-crc     normal  -1
 481 sqlite&gt; .quit
 482 $ awk -F&#39;\t&#39; &#39;$4 ~ /des-cbc-/ { print }&#39; keyinfo.txt
 483 bar@EXAMPLE.COM     1       1       des-cbc-crc     normal  -1
 484 </pre></div>
 485 </div>
 486 </div>
 487 </div>
 488 <div class="section" id="see-also">
 489 <h2>SEE ALSO<a class="headerlink" href="#see-also" title="Permalink to this headline">¶</a></h2>
 490 <p><a class="reference internal" href="kadmin_local.html#kadmin-1"><em>kadmin</em></a></p>
 491 </div>
 492 </div>
 493
 494
 495           </div>
 496         </div>
 497       </div>
 498         </div>
 499         <div class="sidebar">
 500     <h2>On this page</h2>
 501     <ul>
 502 <li><a class="reference internal" href="#">kdb5_util</a><ul>
 503 <li><a class="reference internal" href="#synopsis">SYNOPSIS</a></li>
 504 <li><a class="reference internal" href="#description">DESCRIPTION</a></li>
 505 <li><a class="reference internal" href="#command-line-options">COMMAND-LINE OPTIONS</a></li>
 506 <li><a class="reference internal" href="#commands">COMMANDS</a><ul>
 507 <li><a class="reference internal" href="#create">create</a></li>
 508 <li><a class="reference internal" href="#destroy">destroy</a></li>
 509 <li><a class="reference internal" href="#stash">stash</a></li>
 510 <li><a class="reference internal" href="#dump">dump</a></li>
 511 <li><a class="reference internal" href="#load">load</a></li>
 512 <li><a class="reference internal" href="#ark">ark</a></li>
 513 <li><a class="reference internal" href="#add-mkey">add_mkey</a></li>
 514 <li><a class="reference internal" href="#use-mkey">use_mkey</a></li>
 515 <li><a class="reference internal" href="#list-mkeys">list_mkeys</a></li>
 516 <li><a class="reference internal" href="#purge-mkeys">purge_mkeys</a></li>
 517 <li><a class="reference internal" href="#update-princ-encryption">update_princ_encryption</a></li>
 518 <li><a class="reference internal" href="#tabdump">tabdump</a></li>
 519 </ul>
 520 </li>
 521 <li><a class="reference internal" href="#see-also">SEE ALSO</a></li>
 522 </ul>
 523 </li>
 524 </ul>
 525
 526     <br/>
 527     <h2>Table of contents</h2>
 528     <ul class="current">
 529 <li class="toctree-l1"><a class="reference internal" href="../../user/index.html">For users</a></li>
 530 <li class="toctree-l1 current"><a class="reference internal" href="../index.html">For administrators</a><ul class="current">
 531 <li class="toctree-l2"><a class="reference internal" href="../install.html">Installation guide</a></li>
 532 <li class="toctree-l2"><a class="reference internal" href="../conf_files/index.html">Configuration Files</a></li>
 533 <li class="toctree-l2"><a class="reference internal" href="../realm_config.html">Realm configuration decisions</a></li>
 534 <li class="toctree-l2"><a class="reference internal" href="../database.html">Database administration</a></li>
 535 <li class="toctree-l2"><a class="reference internal" href="../lockout.html">Account lockout</a></li>
 536 <li class="toctree-l2"><a class="reference internal" href="../conf_ldap.html">Configuring Kerberos with OpenLDAP back-end</a></li>
 537 <li class="toctree-l2"><a class="reference internal" href="../appl_servers.html">Application servers</a></li>
 538 <li class="toctree-l2"><a class="reference internal" href="../host_config.html">Host configuration</a></li>
 539 <li class="toctree-l2"><a class="reference internal" href="../backup_host.html">Backups of secure hosts</a></li>
 540 <li class="toctree-l2"><a class="reference internal" href="../pkinit.html">PKINIT configuration</a></li>
 541 <li class="toctree-l2"><a class="reference internal" href="../otp.html">OTP Preauthentication</a></li>
 542 <li class="toctree-l2"><a class="reference internal" href="../princ_dns.html">Principal names and DNS</a></li>
 543 <li class="toctree-l2"><a class="reference internal" href="../enctypes.html">Encryption types</a></li>
 544 <li class="toctree-l2"><a class="reference internal" href="../https.html">HTTPS proxy configuration</a></li>
 545 <li class="toctree-l2"><a class="reference internal" href="../auth_indicator.html">Authentication indicators</a></li>
 546 <li class="toctree-l2 current"><a class="reference internal" href="index.html">Administration  programs</a><ul class="current">
 547 <li class="toctree-l3"><a class="reference internal" href="kadmin_local.html">kadmin</a></li>
 548 <li class="toctree-l3"><a class="reference internal" href="kadmind.html">kadmind</a></li>
 549 <li class="toctree-l3 current"><a class="current reference internal" href="">kdb5_util</a></li>
 550 <li class="toctree-l3"><a class="reference internal" href="kdb5_ldap_util.html">kdb5_ldap_util</a></li>
 551 <li class="toctree-l3"><a class="reference internal" href="krb5kdc.html">krb5kdc</a></li>
 552 <li class="toctree-l3"><a class="reference internal" href="kprop.html">kprop</a></li>
 553 <li class="toctree-l3"><a class="reference internal" href="kpropd.html">kpropd</a></li>
 554 <li class="toctree-l3"><a class="reference internal" href="kproplog.html">kproplog</a></li>
 555 <li class="toctree-l3"><a class="reference internal" href="ktutil.html">ktutil</a></li>
 556 <li class="toctree-l3"><a class="reference internal" href="k5srvutil.html">k5srvutil</a></li>
 557 <li class="toctree-l3"><a class="reference internal" href="sserver.html">sserver</a></li>
 558 </ul>
 559 </li>
 560 <li class="toctree-l2"><a class="reference internal" href="../../mitK5defaults.html">MIT Kerberos defaults</a></li>
 561 <li class="toctree-l2"><a class="reference internal" href="../env_variables.html">Environment variables</a></li>
 562 <li class="toctree-l2"><a class="reference internal" href="../troubleshoot.html">Troubleshooting</a></li>
 563 <li class="toctree-l2"><a class="reference internal" href="../advanced/index.html">Advanced topics</a></li>
 564 <li class="toctree-l2"><a class="reference internal" href="../various_envs.html">Various links</a></li>
 565 </ul>
 566 </li>
 567 <li class="toctree-l1"><a class="reference internal" href="../../appdev/index.html">For application developers</a></li>
 568 <li class="toctree-l1"><a class="reference internal" href="../../plugindev/index.html">For plugin module developers</a></li>
 569 <li class="toctree-l1"><a class="reference internal" href="../../build/index.html">Building Kerberos V5</a></li>
 570 <li class="toctree-l1"><a class="reference internal" href="../../basic/index.html">Kerberos V5 concepts</a></li>
 571 <li class="toctree-l1"><a class="reference internal" href="../../formats/index.html">Protocols and file formats</a></li>
 572 <li class="toctree-l1"><a class="reference internal" href="../../mitK5features.html">MIT Kerberos features</a></li>
 573 <li class="toctree-l1"><a class="reference internal" href="../../build_this.html">How to build this documentation from the source</a></li>
 574 <li class="toctree-l1"><a class="reference internal" href="../../about.html">Contributing to the MIT Kerberos Documentation</a></li>
 575 <li class="toctree-l1"><a class="reference internal" href="../../resources.html">Resources</a></li>
 576 </ul>
 577
 578     <br/>
 579     <h4><a href="../../index.html">Full Table of Contents</a></h4>
 580     <h4>Search</h4>
 581     <form class="search" action="../../search.html" method="get">
 582       <input type="text" name="q" size="18" />
 583       <input type="submit" value="Go" />
 584       <input type="hidden" name="check_keywords" value="yes" />
 585       <input type="hidden" name="area" value="default" />
 586     </form>
 587         </div>
 588         <div class="clearer"></div>
 589       </div>
 590     </div>
 591
 592     <div class="footer-wrapper">
 593         <div class="footer" >
 594             <div class="right" ><i>Release: 1.15.2</i><br />
 595                 &copy; <a href="../../copyright.html">Copyright</a> 1985-2017, MIT.
 596             </div>
 597             <div class="left">
 598
 599         <a href="../../index.html" title="Full Table of Contents"
 600             >Contents</a> |
 601         <a href="kadmind.html" title="kadmind"
 602             >previous</a> |
 603         <a href="kdb5_ldap_util.html" title="kdb5_ldap_util"
 604             >next</a> |
 605         <a href="../../genindex.html" title="General Index"
 606             >index</a> |
 607         <a href="../../search.html" title="Enter search criteria"
 608             >Search</a> |
 609     <a href="mailto:krb5-bugs@mit.edu?subject=Documentation__kdb5_util">feedback</a>
 610             </div>
 611         </div>
 612     </div>
 613
 614   </body>
 615 </html>