gcavalcante8808/krb5-server Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

Krb5 Server镜像文档

镜像概述和主要用途

gcavalcante8808/krb5-server是一个预安装MIT Kerberos v5的Docker镜像，用于快速搭建Kerberos认证服务。该镜像提供KDC（密钥分发中心）和管理服务器功能，适用于需要集中式身份认证的环境，简化Kerberos服务的部署和配置流程。

核心功能和特性

• 基于MIT Kerberos v5实现，符合标准Kerberos协议
• 支持通过环境变量灵活配置领域、KDC地址和管理员密码
• 内置KDC服务和管理服务器，默认创建admin/admin@REALM管理员用户
• 轻量级设计，基于Alpine Linux构建，资源占用低

使用场景和适用范围

• 企业内部服务的集中式身份认证系统
• 分布式应用（如Hadoop、HBase等大数据组件）的安全验证
• 开发和测试环境中Kerberos服务的快速部署
• 需要强身份认证机制的网络服务

使用方法和配置说明

简单使用

通过克隆仓库并使用docker-compose快速启动：

bash
cd tmp
git clone [***]
cd docker-krb5-server
docker-compose up -d

详细使用

环境变量说明

启动容器时需配置以下环境变量：

• KRB5_REALM（必填）：Kerberos领域名称，需为大写DNS格式（如EXAMPLE.COM）
• KRB5_KDC（必填）：KDC服务器地址，建议使用DNS TXT记录，简单测试可使用localhost（使用localhost将无法设置KDC从节点）
• KRB5_ADMINSERVER（可选）：管理服务器地址，未提供时默认与KRB5_KDC相同
• KRB5_PASS（可选）：KDB数据库及admin用户密码，未提供时将在首次启动时自动生成并打印到日志（请务必记录此密码，用于kadmin登录和KDB文件解锁）

启动容器

使用以下命令启动Kerberos服务器容器：

bash
docker run -d --name krb5-server \
  -e KRB5_REALM=EXAMPLE.COM \
  -e KRB5_KDC=localhost \
  -e KRB5_PASS=mypass \
  -p 88:88 \
  -p 464:464 \
  -p 749:749 \
  gcavalcante8808/krb5-server

获取自动生成的密码

若未指定KRB5_PASS，可通过容器日志查看自动生成的密码：

bash
docker logs krb5-server

客户端配置

在客户端创建/etc/krb5.conf文件，配置如下（替换YOURREALM.FQDN为实际领域）：

ini
[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 default_realm = YOURREALM.FQDN
 
[realms]
 YOURREALM.FQDN = {
    kdc = localhost
    admin_server = localhost
 }

测试认证配置

默认创建admin/admin@REALM用户，可通过以下命令测试认证：

bash
kinit admin/***  # 输入密码（提供或自动生成的）
klist  # 查看获取的票据

权限说明：默认Kadmin策略允许/admin策略组用户对Kerberos数据库执行所有操作（默认权限为*）。如需用于添加主体和生成keytab的普通用户，建议创建属于/service策略组的用户（默认权限为aci）。

低熵值与Kerberos数据库创建注意事项

若容器启动时长时间卡在"Loading random data"，表明系统熵值不足，无法提供足够的加密随机数。解决方法：

1. 使用rngd（需重启容器）：

bash
/sbin/rngd

2. 或使用haveged（参考DigitalOcean教程）： [***]

执行上述操作后重启容器即可正常启动。

其他信息

• 本镜像使用Alpine Linux提供的Krb5-Server包，可通过Alpine官网查看可用版本
• 客户端和服务器配置的详细说明，请参考MIT Kerberos官方文档
• 如需贡献代码或报告问题，可访问GitHub仓库的issues页面