Теперь можно приступать к пополнению баз данных Kerberos.

sudo /usr/sbin/kadmin -l

kadmin>init MYREALM.RU

kadmin>add admin/admin@MYREALM.RU

kadmin>add mike@MYREALM.RU

kadmin> add --random-key host/kdc.myrealm.ru@MYREALM.RU

kadmin>ext */kdc.myrealm.ru@MYREALM.RU

Ключ -l позволяет запускать kadmin в локальном режиме без аутентификации в Kerberos. Команда init создает базу данных Kerberos и заселяет ее несколькими принципалами со случайным образом сгенерированными ключами для сервисов, предоставляемых самим Kerberos. Это krbtgt/MYREALM.RU для Ticket Granting Service, kadmin/admin для сервиса kadmind и kadmin/changepw для сервиса kpasswd, позволяющего пользователям менять свой пароли в Kerberos. Принципал kadmin/hprop, также создаваемый при инициализации Kerberos, используется при синхронизации баз данных между дополнительными и основным контроллерами сектора Kerberos, и в нашем случае он не актуален. С помощью команда add в эту вновь созданную базу записываются пользователи и сервисы. В данном случае добавляются пользователи – администратор Kerberos (admin/admin), еще один рядовой пользователь (mike) и принципал для компьютера, на котором работает контроллер Kerberos (host/kdc.myrealm.ru). В отличие от первых двух случаев для сервиса пароль выбирается случайным образом (ключ – random-key), поскольку знать его ни администратору Kerberos, ни тем более рядовым пользователям необязательно. Затем этот ключ извлекается из базы данных Kerberos (команда ext) и дописывается в файл /etc/krb5.keytab. Керберизованные серверные программы знают, что их «пароли» записаны в этом файле и при подключении клиента (см. схему работы Kerberos, изложенную выше) могут извлечь свой пароль оттуда. В данном случае права root для запуска kadmin необходимы, поскольку в результате помимо файла /etc/krb5.keytab в папке /var/heimdal, куда запись простым пользователям запрещена, создается файл heimdal.db с паролями принципалов.

Теперь все готово для запуска сервера kdc. Если после команды:

/usr/libexec/kdc -c /etc/krb5.conf --detach

в log-файле появились сообщения вида:

2005-03-15T23:43:46 listening on IPv4:127.0.0.1 port 88/udp