Configurer l'authentification unique Kerberos pour les appareils ChromeOS

La durée de vie des tickets est configurée sur un jour sur l'appareil, mais le serveur Active Directory limite cette validité à 10 heures par défaut. Pour savoir comment modifier ces valeurs, consultez la section Configurer le mode d'obtention des tickets ci-dessous. Les tickets peuvent également être renouvelés automatiquement sans que les utilisateurs aient à saisir à nouveau leur nom d'utilisateur et leur mot de passe pendant la période configurée dans renew_lifetime. Cette durée de validité peut également être configurée sur les appareils ChromeOS et est plafonnée par une limite configurée sur le serveur Active Directory, comme expliqué dans la section Configurer le mode d'obtention des tickets ci-dessous. Par défaut, la valeur renew_lifetime est définie sur 0 sur les appareils ChromeOS, ce qui signifie que les tickets ne seront pas renouvelés automatiquement. Lorsqu'un ticket arrive à expiration et ne peut pas être actualisé automatiquement, un message s'affiche pour informer les utilisateurs qu'ils doivent l'actualiser manuellement. Si les utilisateurs laissent le ticket expirer, l'authentification Kerberos ne fonctionne plus tant qu'ils ne l'ont pas actualisé.

1. Si vous ne l'avez pas encore fait, connectez-vous à un appareil ChromeOS géré.
2. En bas à droite, sélectionnez l'heure.
3. Cliquez sur Paramètres .
4. Dans la section "Kerberos", cliquez sur Tickets Kerberos.
5. Recherchez le ticket à actualiser.
6. Sur la droite, cliquez sur Plus Actualiser maintenant.
7. Saisissez votre nom d'utilisateur et votre mot de passe Active Directory.
   Remarque : ChromeOS n'est compatible qu'avec la notation utilisateur@domaine (et non domaine/utilisateur).
8. (Facultatif) Pour actualiser automatiquement le ticket, cochez la case Mémoriser le mot de passe.
9. (Facultatif) Modifiez le fichier de configuration :
   1. Cliquez sur Avancé.
   2. Modifiez les informations de configuration Kerberos, telles que la durée de vie des tickets, les types de chiffrement et les mappages de domaine. Pour en savoir plus, consultez la section Configurer le mode d'obtention des tickets ci-dessous.
   3. Cliquez sur Enregistrer.
10. Cliquez sur Actualiser.

Informations supplémentaires

• Si la règle d'ajout automatique de tickets lors de la connexion est configurée pour l'utilisateur, les éléments suivants s'appliquent :
  • Le mot de passe de connexion sera utilisé comme mot de passe Active Directory.
  • Le ticket ne peut pas être créé automatiquement si les utilisateurs se connectent sans mot de passe, par exemple à l'aide d'un code PIN ou d'une empreinte digitale. Dans ce cas, l'utilisateur doit actualiser manuellement le ticket en fournissant le mot de passe Active Directory sur la page des paramètres.
  • Le verrouillage/déverrouillage de l'appareil ne déclenche pas l'actualisation automatique du ticket.
  • Les utilisateurs ne peuvent pas conserver un mot de passe lors de l'actualisation d'un ticket ajouté automatiquement par une règle. L'actualisation automatique de ces tickets utilisera toujours le mot de passe de connexion.
• Les appareils ChromeOS tentent d'actualiser automatiquement les tickets pour lesquels un mot de passe est stocké. Il peut s'agir du mot de passe de connexion pour les tickets créés par une règle ou du mot de passe mémorisé pour les tickets créés manuellement.
• Il n'est pas garanti que les tickets soient actualisés automatiquement à chaque fois, car toutes les tentatives d'actualisation planifiées peuvent échouer (par exemple, si l'appareil est mis en mode veille ou en cas de problèmes réseau). Dans ce cas, les utilisateurs doivent actualiser manuellement le ticket sur la page des paramètres. Si la règle le permet, vous pouvez également vous déconnecter et vous reconnecter pour obtenir automatiquement un nouveau ticket.

1. Si vous ne l'avez pas encore fait, connectez-vous à un appareil ChromeOS géré.
2. En bas à droite, sélectionnez l'heure.
3. Cliquez sur Paramètres .
4. Dans la section "Personnes", cliquez sur Tickets Kerberos.
5. Recherchez le ticket à supprimer.
6. Sur la droite, cliquez sur Plus Supprimer de cet appareil.

Les utilisateurs peuvent modifier la configuration Kerberos, krb5.conf, lorsqu'ils ajoutent un nouveau ticket ou qu'ils actualisent un ticket existant. Le code ChromeOS qui interagit avec le centre de distribution de clés (KDC) Kerberos est basé sur la bibliothèque MIT Kerberos. Pour en savoir plus sur la configuration, consultez la documentation MIT Kerberos. Toutefois, toutes les options ne sont pas compatibles.

Voici une liste des options compatibles avec ChromeOS :

Section	Relation
[libdefaults]	canonicalize clockskew default_tgs_enctypes default_tkt_enctypes dns_canonicalize_hostname dns_lookup_kdc extra_addresses forwardable ignore_acceptor_hostname kdc_default_options kdc_timesync noaddresses permitted_enctypes preferred_preauth_types proxiable rdns renew_lifetime ticket_lifetime udp_preference_limit
[realms]	admin_server auth_to_local kdc kpasswd_server master_kdc
[domain_realm]	Toute valeur
[capaths]	Toute valeur

Exemple : Demander une durée de vie de ticket différente

[libdefaults]

        ticket_lifetime = 16h

L'exemple demande un ticket valide pendant 16 heures. La durée de vie peut être limitée côté serveur, où la valeur par défaut est de 10 heures.

Pour modifier la limite côté serveur, procédez comme suit :

1. Ouvrez la console de gestion des stratégies de groupe.
2. Accédez à ParamètresParamètres de sécuritéRègles du compteRègle Kerberos.
3. Modifiez la règle Durée de vie maximale des tickets de l'utilisateur.

Exemple : Demander une durée de renouvellement d'un ticket différente

[libdefaults]

        renew_lifetime = 14d

L'exemple demande un ticket qui peut être renouvelé pour une durée de 14 jours. La durée de renouvellement peut être limitée côté serveur, où la valeur par défaut est de sept jours.

Pour modifier la limite côté serveur, procédez comme suit :

1. Ouvrez la console de gestion des stratégies de groupe.
2. Accédez à ParamètresParamètres de sécuritéRègles du compteRègle Kerberos.
3. Modifiez la règle Durée de renouvellement maximale des tickets d'un utilisateur.

Google applique par défaut le chiffrement AES fort. Si un message d'erreur concernant les types de chiffrement s'affiche, il est possible que certaines parties de votre environnement de serveur ne puissent pas traiter le chiffrement AES. Nous vous recommandons de corriger ce problème.

Sinon, supprimez les trois lignes default_tgs_enctypes, default_tkt_enctypes et permitted_enctypes de la configuration pour le développement. Tous les types de chiffrement présentés dans la documentation MIT Kerberos seront alors activés, à l'exception de ceux indiqués comme faibles. Vérifiez que les implications sur la sécurité correspondent à vos besoins. Certains types de chiffrement ne sont plus considérés comme forts.

Une fois que vous avez vérifié que tous les types de chiffrement fonctionnent, nous vous recommandons de limiter les types de chiffrement pour default_tgs_enctypes, default_tkt_enctypes et permitted_enctypes à un sous-ensemble de types pour réduire les risques de sécurité.

1. Vérifiez que le nom d'utilisateur Kerberos que vous avez saisi est correct.
   Le nom d'utilisateur Kerberos [email protected] se compose ainsi :
   • Nom de connexion utilisateur (sAMAccountName)
   • Domaine Kerberos (généralement, le nom de domaine Windows)
2. Vérifiez que la connexion réseau est correctement configurée.
   Assurez-vous que le serveur est accessible depuis l'appareil ChromeOS à l'aide du port Kerberos 88 standard.
3. Vérifiez que le DNS est correctement configuré.
   Kerberos demande certains enregistrements SRV DNS pour trouver le nom de domaine DNS du service Kerberos. Par exemple, si le domaine de connexion est example.com et que le nom de domaine DNS du seul service Kerberos est dc.example.com, vous devez ajouter les enregistrements SRV DNS suivants :

Service	Protocole	Priorité	Poids	Port	Cible (nom d'hôte)
_Kerberos	_udp.dc._msdcs	0	100	88	dc.example.com
_Kerberos	_tcp.dc._msdcs	0	100	88	dc.example.com
_Kerberos	_udp	0	100	88	dc.example.com
_Kerberos	_tcp	0	100	88	dc.example.com
_kerberos-master	_udp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_tcp.dc._msdcs	0	100	88	dc.example.com
_kerberos-master	_udp	0	100	88	dc.example.com
_kerberos-master	_tcp	0	100	88	dc.example.com

Si vous ne pouvez pas modifier les paramètres DNS, vous pouvez ajouter ces mappages à la configuration Kerberos.

Exemple :

[realms]

        EXAMPLE.COM = {

            kdc = dc.example.com

        master_kdc = dc.example.com

}

Si vous ne parvenez toujours pas à obtenir des tickets Kerberos, rassemblez les journaux système. Collectez également les journaux tcpdump ou wireshark, si possible. Ensuite, contactez l'assistance.