[Решено] macOS «не работает» kinit при подключении через SSH

А ты точно уверен, что керберос на маке работает? И как ты его готовил? Хотя бы показал что ты делаешь, а то гадать по кофейной не выйдет, ибо телепаты в отпуске

держи в курсе

Прошу прощения, опубликовал пост перед тем как написал тело обращения)

Добавил описание.

sudo kinit

Ну sudo klist тогда уже делай, и sudo ssh )

Я уже пробовал при коннекте через SSH - sudo su

whoami говорит root

А тикет - та же ситуация.

Вот, будучи подключенним через SSH сделал sudo su

bash-3.2# klist 
klist: krb5_cc_get_principal: No credentials cache file found
bash-3.2# whoami
root
bash-3.2# kinit -V -e aes128-cts-hmac-sha1-96 -k $(hostname -s)$
Placing tickets for 'hostname$@domain.lcl' in cache 'API:********'
bash-3.2# klist 
klist: krb5_cc_get_principal: No credentials cache file found
bash-3.2# 

Попробую установить brew и обновить ssh

Сейчас

bash-3.2# ssh -v localhost
OpenSSH_7.8p1, LibreSSL 2.6.2

Чето не понятно. Ты хочешь что бы на той тачке, на которую ты залогинился, автоматом выпускался TGT? Или что?

Автоматом он и без того выпускается.

Только принципалм является аккаунт от которого залогинились.

А мне нужно, чтоб принципалом являлся аккаунт компьютера.

И при заказе тикета от имени ПК - он вроде как и заказыватся, ошибок нет, но система не видит. Или SSH не видит.

Обновление ssh не помогло.

Работает. Спасибо добрый человек.

В окружение root передавалсь переменная KRB5CCNAME от аккаунта с которого логинился по SSH. После unset KRB5CCNAME - всё отлично.

В окружение root передавалсь переменная

в этом и есть смысл '-', чтобы не передавались переменные из текущего окружения.

Не опытний еще, матчасть плохо знаю. :) Благодарю.

Немного оффтопа. Вопрос. На текущий момент и в вашем варианте использования какой профит от заведения мака в ад? Правда интересно.

Управление групами прав. Динамическое инвентори с AD. Разброс политик на основании груп в которых объект. Мониторинг сети. Выдача сертификатов 8021х.

Ну и пользователи доменные.

Даже так. Действительно за годы что-то поменялось. Спасибо.
ЗЫ У меня когда-то OD был в варианте много маков, со временем стало не актуально, а ад тогда был так себе, не пришей кобыле хвост, толку ровно ноль, кроме как пользователями рулить.

Дык, АД на маке само по себе не очень надобно. Много, что смотрит в АД, видит там группу и применяет что-то, но, по сути - это делается при помощи третьих инструментов. А-ля, ансибл, паппет…

И ещё до кучи вопрос, он в мобильные профили уже научился работать без глюков? Или у вас такой задачи возможно нет?

Вот с профилями настройки только начинаю играться)

Аааа, всё по старинке, ничего не поменялось. Понял. Ещё раз спасибо.

Возможно вы не поняли, я про синхронизацию профилей, ну вот у вас «ноут» и «комп», ноут «уехал», когда оказался в сети мы синхронизируем профили между «комп» и «ноут». Только все это не сторонними средствами а из каробки. Вот что интересно было.

Я подобное в нас пока не встречал. Но думаю, шо ничего не поменялось) Вам спасибо, опробую на досуге.

sudo su -

Ой как некошерно, sudo -i же!