NetBackup IT Analytics 系统管理指南

对门户的修改

1. 将 /etc/krb5.conf 从 KDC 复制到门户服务器的 /etc/krb5.conf 路径。
2. 将 keytab 文件从 KDC 复制到门户的 /etc/v5srvtab 下。

   注意:

   将导出的 keytab 文件复制到门户服务器后，可将其从 KDC 中删除。

   注意:

   如需了解更多信息，请参阅请参见将服务和用户主体导出到 KDC 上的密钥文件中。

3. 请通过以下命令修改复制后的上述两个文件的所有者及权限：

   chown <oracle user>:<oracle group> /etc/krb5.conf /etc/v5srvtab
   # chmod 444 /etc/krb5.conf /etc/v5srvtab
   

   例如：# chown aptare:dba /etc/krb5.conf /etc/v5srvtab

4. 将以下条目添加到 /opt/aptare/oracle/network/admin/sqlnet.ora 文件

   • SQLNET.AUTHENTICATION_SERVICES=(BEQ,KERBEROS5)

   • SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=scdb

   • SQLNET.KERBEROS5_CONF=/etc/krb5.conf

   • SQLNET.KERBEROS5_CONF_MIT=TRUE

   • SQLNET.KERBEROS5_REALMS=/etc/krb5.conf

   • SQLNET.KERBEROS5_KEYTAB=/etc/v5srvtab

   • SQLNET.FALLBACK_AUTHENTICATION=TRUE

   • SQLNET.KERBEROS5_CC_NAME=/tmp/kcache

   • SQLNET.KERBEROS5_CLOCKSKEW=300

5. 需要对属性文件进行修改，因为当 JDBC 尝试与 Oracle 数据库建立多个连接时，Oracle 应用程序会将其视为重放攻击并出错。

   要避免出现此错误，请确保 KDC 上 Kerberos 配置文件 /etc/krb5.conf 中的 [libdefaults] 部分以及客户端计算机已配置 forwardable = false。

   如需更新，请使用以下命令重新启动 KDC 服务器上的 KDC 服务和管理服务：

   systemctl restart krb5kdc.service

   systemctl restart kadmin.service

6. 为门户用户创建缓存文件。

   例如，使用 kinit -k -t <Key Tab File> <kerberos user@domain realm name> -c <cache file name> 命令生成缓存文件

   kinit -k -t <Key Tab File> <kerberos user name>@<domain realm name>
    -c <cache file name> 
   # su - aptare (login as oracle user)
   #source <INSTALL_PATH>/aptare/bin/aptare_env.sh
   # kinit -k -t /etc/v5srvtab k1portal@EXAMPLE.COM 
   -c /tmp/portal_kcache;

7. Tomcat 用户必须具有对缓存文件的读取权限。 要确保 Tomcat 操作系统用户能够与 Oracle 数据库建立 JDBC 连接，请使用以下命令：

   .
   # chown <portal user>:<portal group> /tmp/portal_kcache;
   # chmod 444 /tmp/portal_kcache;
   

   例如：chown aptare:aptare /tmp/portal_kcache;

8. 必须在 /opt/aptare/portalconf/portal.properties 中添加或更新以下属性

   • db.url=jdbc:oracle:thin:@(DESCRIPTION=

     (ADDRESS=(PROTOCOL=tcp)(HOST=localhost)

     (PORT=1521))(CONNECT_DATA=(SERVICE_NAME=scdb)))

     可在此处使用其他主机名及服务名称。

   • db.user=<kerberos user name>@<domain realm name>

     例如：db.user=k1portal@EXAMPLE.COM Kerberos 门户用户名与域的领域名的组合

   • db.auth.scheme=kerberos

     必须定义此属性才能启用 Kerberos 身份验证且不区分大小写

   • db.kerberos.keytab.path=/etc/v5srvtab

     这是 keytab 文件的绝对路径

   • db.driver=oracle.jdbc.OracleDriver

   • db.kerberos.portal_kcache.path=/tmp/portal_kcache

     这是门户用户缓存文件的绝对路径

   • db.connection.max=25

   • db.connection.min=25

   • db.connection.expiration=5

9. 还需要在数据接收器属性文件 /opt/aptare/datarcvrconf/datrarcvrproperties.xml 中进行类似的更改。

   添加或更新粗体属性。

   <dataSource>
   <Driver> oracle.jdbc.driver.Oracle</Driver><URL>jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)
   (HOST=localhost)(PORT=1521))(CONNECT_DATA=(SERVICE_NAME=scdb)))</URL><UserId><kerberos user name>@<>
   <domain realm name></UserId>
   
   For example: <UserId>k1portal@EXAMPLE.COM</UserId>
   
   <Password>Z0Q5W+lQD2jreQaLBoYsviYO21WGOq5iTEo0Ad2uUj/e0GtqPkOtXFblKxCse
   KXO4VhpIQwwfrSfe59nGy156DV8lYoa7HWmL0hF+kAZXOoXfIN5YRAGfqDbCwrKQdtPY7pQh
   uTkZMPLl0d9Kzy6sLGMb/33L4hKuEl0ZZN2FG5US26JZ/uSOBF7T69ppqxGqXMleZ19QBcv
   UElLwJTn52SurL+K3RjCY7Xi0VJb4wLkax07xCkpSK9dJ6NMFJS3ybWP4jNs3rC3roudZak8
   wGqLNhAacyXgW4pMpgigVjGwNr0N8rJIgcGmXgAxSNs0qmQItuXPIyqGf+nWWEfScQ==
   </Password>
   
   <oracle_service_name>scdb</oracle_service_name>
   
   <ro_user>aptare_ro</ro_user>
   
   <ro_password>U9a7a+af94q0CUaIfzaVmYl1P1DhdQW96CQiYWgxUGSV5sfVVsxoWF5Riy
   V85MD8V0Ogy7UJo1sFmAL36KjDy8LA61pKeO4X39hRK/g8vvl/xNnG5bBYIF04/1LwD2FTz
   0lJERWopKVZ6pd6TkT0mGeKrnu2oYi97GtlW4J73tPGTFRhHyVw7yZKMmaxbs/FBwrz5aIf
   je3rT0w85m7Obtrjf2nJ2HjsaHnmToh0Ua96xlshjrE75UbaLMu0QEcF3PYF3qufYVIegn
   4VGSHcpsU/AFzurKpr0JTsU/6VqvdE4veBLv4FH5D05bRetaOA0SGKCazWA50
   xiirwocvgyw==
   </ro_password>
   
   <MaxConnections>125</MaxConnections>
   
   <MinConnections>5</MinConnections>
   
   <ConnExpirationTime>5</ConnExpirationTime>
   <authScheme>kerberos</authScheme> <portalKcacheFile>/tmp/portal_kcache</portalKcacheFile><kKeyTabFile>/etc/v5srvtab</kKeyTabFile>
   </dataSource>