src/man/kdb5_ldap_util.man

   1 .\" Man page generated from reStructuredText.
   2 .
   3 .TH "KDB5_LDAP_UTIL" "8" " " "1.15.2" "MIT Kerberos"
   4 .SH NAME
   5 kdb5_ldap_util \- Kerberos configuration utility
   6 .
   7 .nr rst2man-indent-level 0
   8 .
   9 .de1 rstReportMargin
  10 \\$1 \\n[an-margin]
  11 level \\n[rst2man-indent-level]
  12 level margin: \\n[rst2man-indent\\n[rst2man-indent-level]]
  13 -
  14 \\n[rst2man-indent0]
  15 \\n[rst2man-indent1]
  16 \\n[rst2man-indent2]
  17 ..
  18 .de1 INDENT
  19 .\" .rstReportMargin pre:
  20 . RS \\$1
  21 . nr rst2man-indent\\n[rst2man-indent-level] \\n[an-margin]
  22 . nr rst2man-indent-level +1
  23 .\" .rstReportMargin post:
  24 ..
  25 .de UNINDENT
  26 . RE
  27 .\" indent \\n[an-margin]
  28 .\" old: \\n[rst2man-indent\\n[rst2man-indent-level]]
  29 .nr rst2man-indent-level -1
  30 .\" new: \\n[rst2man-indent\\n[rst2man-indent-level]]
  31 .in \\n[rst2man-indent\\n[rst2man-indent-level]]u
  32 ..
  33 .SH SYNOPSIS
  34 .sp
  35 \fBkdb5_ldap_util\fP
  36 [\fB\-D\fP \fIuser_dn\fP [\fB\-w\fP \fIpasswd\fP]]
  37 [\fB\-H\fP \fIldapuri\fP]
  38 \fBcommand\fP
  39 [\fIcommand_options\fP]
  40 .SH DESCRIPTION
  41 .sp
  42 kdb5_ldap_util allows an administrator to manage realms, Kerberos
  43 services and ticket policies.
  44 .SH COMMAND-LINE OPTIONS
  45 .INDENT 0.0
  46 .TP
  47 .B \fB\-D\fP \fIuser_dn\fP
  48 Specifies the Distinguished Name (DN) of the user who has
  49 sufficient rights to perform the operation on the LDAP server.
  50 .TP
  51 .B \fB\-w\fP \fIpasswd\fP
  52 Specifies the password of \fIuser_dn\fP\&.  This option is not
  53 recommended.
  54 .TP
  55 .B \fB\-H\fP \fIldapuri\fP
  56 Specifies the URI of the LDAP server.  It is recommended to use
  57 \fBldapi://\fP or \fBldaps://\fP to connect to the LDAP server.
  58 .UNINDENT
  59 .SH COMMANDS
  60 .SS create
  61 .INDENT 0.0
  62 .INDENT 3.5
  63 \fBcreate\fP
  64 [\fB\-subtrees\fP \fIsubtree_dn_list\fP]
  65 [\fB\-sscope\fP \fIsearch_scope\fP]
  66 [\fB\-containerref\fP \fIcontainer_reference_dn\fP]
  67 [\fB\-k\fP \fImkeytype\fP]
  68 [\fB\-kv\fP \fImkeyVNO\fP]
  69 [\fB\-m|\-P\fP \fIpassword\fP|\fB\-sf\fP \fIstashfilename\fP]
  70 [\fB\-s\fP]
  71 [\fB\-r\fP \fIrealm\fP]
  72 [\fB\-maxtktlife\fP \fImax_ticket_life\fP]
  73 [\fB\-maxrenewlife\fP \fImax_renewable_ticket_life\fP]
  74 [\fIticket_flags\fP]
  75 .UNINDENT
  76 .UNINDENT
  77 .sp
  78 Creates realm in directory. Options:
  79 .INDENT 0.0
  80 .TP
  81 .B \fB\-subtrees\fP \fIsubtree_dn_list\fP
  82 Specifies the list of subtrees containing the principals of a
  83 realm.  The list contains the DNs of the subtree objects separated
  84 by colon (\fB:\fP).
  85 .TP
  86 .B \fB\-sscope\fP \fIsearch_scope\fP
  87 Specifies the scope for searching the principals under the
  88 subtree.  The possible values are 1 or one (one level), 2 or sub
  89 (subtrees).
  90 .TP
  91 .B \fB\-containerref\fP \fIcontainer_reference_dn\fP
  92 Specifies the DN of the container object in which the principals
  93 of a realm will be created.  If the container reference is not
  94 configured for a realm, the principals will be created in the
  95 realm container.
  96 .TP
  97 .B \fB\-k\fP \fImkeytype\fP
  98 Specifies the key type of the master key in the database.  The
  99 default is given by the \fBmaster_key_type\fP variable in
 100 \fIkdc.conf(5)\fP\&.
 101 .TP
 102 .B \fB\-kv\fP \fImkeyVNO\fP
 103 Specifies the version number of the master key in the database;
 104 the default is 1.  Note that 0 is not allowed.
 105 .TP
 106 .B \fB\-m\fP
 107 Specifies that the master database password should be read from
 108 the TTY rather than fetched from a file on the disk.
 109 .TP
 110 .B \fB\-P\fP \fIpassword\fP
 111 Specifies the master database password. This option is not
 112 recommended.
 113 .TP
 114 .B \fB\-r\fP \fIrealm\fP
 115 Specifies the Kerberos realm of the database.
 116 .TP
 117 .B \fB\-sf\fP \fIstashfilename\fP
 118 Specifies the stash file of the master database password.
 119 .TP
 120 .B \fB\-s\fP
 121 Specifies that the stash file is to be created.
 122 .TP
 123 .B \fB\-maxtktlife\fP \fImax_ticket_life\fP
 124 (\fIgetdate\fP string) Specifies maximum ticket life for
 125 principals in this realm.
 126 .TP
 127 .B \fB\-maxrenewlife\fP \fImax_renewable_ticket_life\fP
 128 (\fIgetdate\fP string) Specifies maximum renewable life of
 129 tickets for principals in this realm.
 130 .TP
 131 .B \fIticket_flags\fP
 132 Specifies global ticket flags for the realm.  Allowable flags are
 133 documented in the description of the \fBadd_principal\fP command in
 134 \fIkadmin(1)\fP\&.
 135 .UNINDENT
 136 .sp
 137 Example:
 138 .INDENT 0.0
 139 .INDENT 3.5
 140 .sp
 141 .nf
 142 .ft C
 143 kdb5_ldap_util \-D cn=admin,o=org \-H ldaps://ldap\-server1.mit.edu
 144     create \-subtrees o=org \-sscope SUB \-r ATHENA.MIT.EDU
 145 Password for "cn=admin,o=org":
 146 Initializing database for realm \(aqATHENA.MIT.EDU\(aq
 147 You will be prompted for the database Master Password.
 148 It is important that you NOT FORGET this password.
 149 Enter KDC database master key:
 150 Re\-enter KDC database master key to verify:
 151 .ft P
 152 .fi
 153 .UNINDENT
 154 .UNINDENT
 155 .SS modify
 156 .INDENT 0.0
 157 .INDENT 3.5
 158 \fBmodify\fP
 159 [\fB\-subtrees\fP \fIsubtree_dn_list\fP]
 160 [\fB\-sscope\fP \fIsearch_scope\fP]
 161 [\fB\-containerref\fP \fIcontainer_reference_dn\fP]
 162 [\fB\-r\fP \fIrealm\fP]
 163 [\fB\-maxtktlife\fP \fImax_ticket_life\fP]
 164 [\fB\-maxrenewlife\fP \fImax_renewable_ticket_life\fP]
 165 [\fIticket_flags\fP]
 166 .UNINDENT
 167 .UNINDENT
 168 .sp
 169 Modifies the attributes of a realm.  Options:
 170 .INDENT 0.0
 171 .TP
 172 .B \fB\-subtrees\fP \fIsubtree_dn_list\fP
 173 Specifies the list of subtrees containing the principals of a
 174 realm.  The list contains the DNs of the subtree objects separated
 175 by colon (\fB:\fP).  This list replaces the existing list.
 176 .TP
 177 .B \fB\-sscope\fP \fIsearch_scope\fP
 178 Specifies the scope for searching the principals under the
 179 subtrees.  The possible values are 1 or one (one level), 2 or sub
 180 (subtrees).
 181 .TP
 182 .B \fB\-containerref\fP \fIcontainer_reference_dn\fP Specifies the DN of the
 183 container object in which the principals of a realm will be
 184 created.
 185 .TP
 186 .B \fB\-r\fP \fIrealm\fP
 187 Specifies the Kerberos realm of the database.
 188 .TP
 189 .B \fB\-maxtktlife\fP \fImax_ticket_life\fP
 190 (\fIgetdate\fP string) Specifies maximum ticket life for
 191 principals in this realm.
 192 .TP
 193 .B \fB\-maxrenewlife\fP \fImax_renewable_ticket_life\fP
 194 (\fIgetdate\fP string) Specifies maximum renewable life of
 195 tickets for principals in this realm.
 196 .TP
 197 .B \fIticket_flags\fP
 198 Specifies global ticket flags for the realm.  Allowable flags are
 199 documented in the description of the \fBadd_principal\fP command in
 200 \fIkadmin(1)\fP\&.
 201 .UNINDENT
 202 .sp
 203 Example:
 204 .INDENT 0.0
 205 .INDENT 3.5
 206 .sp
 207 .nf
 208 .ft C
 209 shell% kdb5_ldap_util \-D cn=admin,o=org \-H
 210     ldaps://ldap\-server1.mit.edu modify +requires_preauth \-r
 211     ATHENA.MIT.EDU
 212 Password for "cn=admin,o=org":
 213 shell%
 214 .ft P
 215 .fi
 216 .UNINDENT
 217 .UNINDENT
 218 .SS view
 219 .INDENT 0.0
 220 .INDENT 3.5
 221 \fBview\fP [\fB\-r\fP \fIrealm\fP]
 222 .UNINDENT
 223 .UNINDENT
 224 .sp
 225 Displays the attributes of a realm.  Options:
 226 .INDENT 0.0
 227 .TP
 228 .B \fB\-r\fP \fIrealm\fP
 229 Specifies the Kerberos realm of the database.
 230 .UNINDENT
 231 .sp
 232 Example:
 233 .INDENT 0.0
 234 .INDENT 3.5
 235 .sp
 236 .nf
 237 .ft C
 238 kdb5_ldap_util \-D cn=admin,o=org \-H ldaps://ldap\-server1.mit.edu
 239     view \-r ATHENA.MIT.EDU
 240 Password for "cn=admin,o=org":
 241 Realm Name: ATHENA.MIT.EDU
 242 Subtree: ou=users,o=org
 243 Subtree: ou=servers,o=org
 244 SearchScope: ONE
 245 Maximum ticket life: 0 days 01:00:00
 246 Maximum renewable life: 0 days 10:00:00
 247 Ticket flags: DISALLOW_FORWARDABLE REQUIRES_PWCHANGE
 248 .ft P
 249 .fi
 250 .UNINDENT
 251 .UNINDENT
 252 .SS destroy
 253 .INDENT 0.0
 254 .INDENT 3.5
 255 \fBdestroy\fP [\fB\-f\fP] [\fB\-r\fP \fIrealm\fP]
 256 .UNINDENT
 257 .UNINDENT
 258 .sp
 259 Destroys an existing realm. Options:
 260 .INDENT 0.0
 261 .TP
 262 .B \fB\-f\fP
 263 If specified, will not prompt the user for confirmation.
 264 .TP
 265 .B \fB\-r\fP \fIrealm\fP
 266 Specifies the Kerberos realm of the database.
 267 .UNINDENT
 268 .sp
 269 Example:
 270 .INDENT 0.0
 271 .INDENT 3.5
 272 .sp
 273 .nf
 274 .ft C
 275 shell% kdb5_ldap_util \-D cn=admin,o=org \-H
 276     ldaps://ldap\-server1.mit.edu destroy \-r ATHENA.MIT.EDU
 277 Password for "cn=admin,o=org":
 278 Deleting KDC database of \(aqATHENA.MIT.EDU\(aq, are you sure?
 279 (type \(aqyes\(aq to confirm)? yes
 280 OK, deleting database of \(aqATHENA.MIT.EDU\(aq...
 281 shell%
 282 .ft P
 283 .fi
 284 .UNINDENT
 285 .UNINDENT
 286 .SS list
 287 .INDENT 0.0
 288 .INDENT 3.5
 289 \fBlist\fP
 290 .UNINDENT
 291 .UNINDENT
 292 .sp
 293 Lists the name of realms.
 294 .sp
 295 Example:
 296 .INDENT 0.0
 297 .INDENT 3.5
 298 .sp
 299 .nf
 300 .ft C
 301 shell% kdb5_ldap_util \-D cn=admin,o=org \-H
 302     ldaps://ldap\-server1.mit.edu list
 303 Password for "cn=admin,o=org":
 304 ATHENA.MIT.EDU
 305 OPENLDAP.MIT.EDU
 306 MEDIA\-LAB.MIT.EDU
 307 shell%
 308 .ft P
 309 .fi
 310 .UNINDENT
 311 .UNINDENT
 312 .SS stashsrvpw
 313 .INDENT 0.0
 314 .INDENT 3.5
 315 \fBstashsrvpw\fP
 316 [\fB\-f\fP \fIfilename\fP]
 317 \fIname\fP
 318 .UNINDENT
 319 .UNINDENT
 320 .sp
 321 Allows an administrator to store the password for service object in a
 322 file so that KDC and Administration server can use it to authenticate
 323 to the LDAP server.  Options:
 324 .INDENT 0.0
 325 .TP
 326 .B \fB\-f\fP \fIfilename\fP
 327 Specifies the complete path of the service password file. By
 328 default, \fB/usr/local/var/service_passwd\fP is used.
 329 .TP
 330 .B \fIname\fP
 331 Specifies the name of the object whose password is to be stored.
 332 If \fIkrb5kdc(8)\fP or \fIkadmind(8)\fP are configured for
 333 simple binding, this should be the distinguished name it will
 334 use as given by the \fBldap_kdc_dn\fP or \fBldap_kadmind_dn\fP
 335 variable in \fIkdc.conf(5)\fP\&.  If the KDC or kadmind is
 336 configured for SASL binding, this should be the authentication
 337 name it will use as given by the \fBldap_kdc_sasl_authcid\fP or
 338 \fBldap_kadmind_sasl_authcid\fP variable.
 339 .UNINDENT
 340 .sp
 341 Example:
 342 .INDENT 0.0
 343 .INDENT 3.5
 344 .sp
 345 .nf
 346 .ft C
 347 kdb5_ldap_util stashsrvpw \-f /home/andrew/conf_keyfile
 348     cn=service\-kdc,o=org
 349 Password for "cn=service\-kdc,o=org":
 350 Re\-enter password for "cn=service\-kdc,o=org":
 351 .ft P
 352 .fi
 353 .UNINDENT
 354 .UNINDENT
 355 .SS create_policy
 356 .INDENT 0.0
 357 .INDENT 3.5
 358 \fBcreate_policy\fP
 359 [\fB\-r\fP \fIrealm\fP]
 360 [\fB\-maxtktlife\fP \fImax_ticket_life\fP]
 361 [\fB\-maxrenewlife\fP \fImax_renewable_ticket_life\fP]
 362 [\fIticket_flags\fP]
 363 \fIpolicy_name\fP
 364 .UNINDENT
 365 .UNINDENT
 366 .sp
 367 Creates a ticket policy in the directory.  Options:
 368 .INDENT 0.0
 369 .TP
 370 .B \fB\-r\fP \fIrealm\fP
 371 Specifies the Kerberos realm of the database.
 372 .TP
 373 .B \fB\-maxtktlife\fP \fImax_ticket_life\fP
 374 (\fIgetdate\fP string) Specifies maximum ticket life for
 375 principals.
 376 .TP
 377 .B \fB\-maxrenewlife\fP \fImax_renewable_ticket_life\fP
 378 (\fIgetdate\fP string) Specifies maximum renewable life of
 379 tickets for principals.
 380 .TP
 381 .B \fIticket_flags\fP
 382 Specifies the ticket flags.  If this option is not specified, by
 383 default, no restriction will be set by the policy.  Allowable
 384 flags are documented in the description of the \fBadd_principal\fP
 385 command in \fIkadmin(1)\fP\&.
 386 .TP
 387 .B \fIpolicy_name\fP
 388 Specifies the name of the ticket policy.
 389 .UNINDENT
 390 .sp
 391 Example:
 392 .INDENT 0.0
 393 .INDENT 3.5
 394 .sp
 395 .nf
 396 .ft C
 397 kdb5_ldap_util \-D cn=admin,o=org \-H ldaps://ldap\-server1.mit.edu
 398     create_policy \-r ATHENA.MIT.EDU \-maxtktlife "1 day"
 399     \-maxrenewlife "1 week" \-allow_postdated +needchange
 400     \-allow_forwardable tktpolicy
 401 Password for "cn=admin,o=org":
 402 .ft P
 403 .fi
 404 .UNINDENT
 405 .UNINDENT
 406 .SS modify_policy
 407 .INDENT 0.0
 408 .INDENT 3.5
 409 \fBmodify_policy\fP
 410 [\fB\-r\fP \fIrealm\fP]
 411 [\fB\-maxtktlife\fP \fImax_ticket_life\fP]
 412 [\fB\-maxrenewlife\fP \fImax_renewable_ticket_life\fP]
 413 [\fIticket_flags\fP]
 414 \fIpolicy_name\fP
 415 .UNINDENT
 416 .UNINDENT
 417 .sp
 418 Modifies the attributes of a ticket policy.  Options are same as for
 419 \fBcreate_policy\fP\&.
 420 .sp
 421 Example:
 422 .INDENT 0.0
 423 .INDENT 3.5
 424 .sp
 425 .nf
 426 .ft C
 427 kdb5_ldap_util \-D cn=admin,o=org \-H
 428     ldaps://ldap\-server1.mit.edu modify_policy \-r ATHENA.MIT.EDU
 429     \-maxtktlife "60 minutes" \-maxrenewlife "10 hours"
 430     +allow_postdated \-requires_preauth tktpolicy
 431 Password for "cn=admin,o=org":
 432 .ft P
 433 .fi
 434 .UNINDENT
 435 .UNINDENT
 436 .SS view_policy
 437 .INDENT 0.0
 438 .INDENT 3.5
 439 \fBview_policy\fP
 440 [\fB\-r\fP \fIrealm\fP]
 441 \fIpolicy_name\fP
 442 .UNINDENT
 443 .UNINDENT
 444 .sp
 445 Displays the attributes of a ticket policy.  Options:
 446 .INDENT 0.0
 447 .TP
 448 .B \fIpolicy_name\fP
 449 Specifies the name of the ticket policy.
 450 .UNINDENT
 451 .sp
 452 Example:
 453 .INDENT 0.0
 454 .INDENT 3.5
 455 .sp
 456 .nf
 457 .ft C
 458 kdb5_ldap_util \-D cn=admin,o=org \-H ldaps://ldap\-server1.mit.edu
 459     view_policy \-r ATHENA.MIT.EDU tktpolicy
 460 Password for "cn=admin,o=org":
 461 Ticket policy: tktpolicy
 462 Maximum ticket life: 0 days 01:00:00
 463 Maximum renewable life: 0 days 10:00:00
 464 Ticket flags: DISALLOW_FORWARDABLE REQUIRES_PWCHANGE
 465 .ft P
 466 .fi
 467 .UNINDENT
 468 .UNINDENT
 469 .SS destroy_policy
 470 .INDENT 0.0
 471 .INDENT 3.5
 472 \fBdestroy_policy\fP
 473 [\fB\-r\fP \fIrealm\fP]
 474 [\fB\-force\fP]
 475 \fIpolicy_name\fP
 476 .UNINDENT
 477 .UNINDENT
 478 .sp
 479 Destroys an existing ticket policy.  Options:
 480 .INDENT 0.0
 481 .TP
 482 .B \fB\-r\fP \fIrealm\fP
 483 Specifies the Kerberos realm of the database.
 484 .TP
 485 .B \fB\-force\fP
 486 Forces the deletion of the policy object.  If not specified, the
 487 user will be prompted for confirmation before deleting the policy.
 488 .TP
 489 .B \fIpolicy_name\fP
 490 Specifies the name of the ticket policy.
 491 .UNINDENT
 492 .sp
 493 Example:
 494 .INDENT 0.0
 495 .INDENT 3.5
 496 .sp
 497 .nf
 498 .ft C
 499 kdb5_ldap_util \-D cn=admin,o=org \-H ldaps://ldap\-server1.mit.edu
 500     destroy_policy \-r ATHENA.MIT.EDU tktpolicy
 501 Password for "cn=admin,o=org":
 502 This will delete the policy object \(aqtktpolicy\(aq, are you sure?
 503 (type \(aqyes\(aq to confirm)? yes
 504 ** policy object \(aqtktpolicy\(aq deleted.
 505 .ft P
 506 .fi
 507 .UNINDENT
 508 .UNINDENT
 509 .SS list_policy
 510 .INDENT 0.0
 511 .INDENT 3.5
 512 \fBlist_policy\fP
 513 [\fB\-r\fP \fIrealm\fP]
 514 .UNINDENT
 515 .UNINDENT
 516 .sp
 517 Lists the ticket policies in realm if specified or in the default
 518 realm.  Options:
 519 .INDENT 0.0
 520 .TP
 521 .B \fB\-r\fP \fIrealm\fP
 522 Specifies the Kerberos realm of the database.
 523 .UNINDENT
 524 .sp
 525 Example:
 526 .INDENT 0.0
 527 .INDENT 3.5
 528 .sp
 529 .nf
 530 .ft C
 531 kdb5_ldap_util \-D cn=admin,o=org \-H ldaps://ldap\-server1.mit.edu
 532     list_policy \-r ATHENA.MIT.EDU
 533 Password for "cn=admin,o=org":
 534 tktpolicy
 535 tmppolicy
 536 userpolicy
 537 .ft P
 538 .fi
 539 .UNINDENT
 540 .UNINDENT
 541 .SH SEE ALSO
 542 .sp
 543 \fIkadmin(1)\fP
 544 .SH AUTHOR
 545 MIT
 546 .SH COPYRIGHT
 547 1985-2017, MIT
 548 .\" Generated by docutils manpage writer.
 549 .