Différences

Ci-dessous, les différences entre deux révisions de la page.

--- systeme:windows:server:bind [2025/11/17 17:19] – [Utiliser le fichier keytab dans BIND pour les mises à jour dynamiques] admin
+++ systeme:windows:server:bind [2025/11/18 11:59] (Version actuelle) – admin
@@ Ligne 190: / Ligne 190: @@
 <code>
 kinit dnsbind@AGENCE.CUB.FR
 </code>
 Le mot de passe sera demandé et la commande suivant permet de lister le ticket Kerberos créé :
@@ Ligne 197: / Ligne 198: @@
+Depuis une invite de commande de votre serveur BIND, testez une authentification avec le principal (SPN) du compte dnsbind :
+<code>
+// Authentification Kerberos avec le principal voulu avec saisie du mot de passe
+kinit DNS/nsO.agence.cub.fr@AGENCE.CUB.FR
+// Authentification Kerberos avec le principal voulu sans saisie du mot de passe
+kinit -k -t /etc/krb5.keytab DNS/nsO.agence.cub.fr@AGENCE.CUB.FR
+</code>
+    * Commentaires :
+      * -k : préciser l'utilisation d'un fichier keytab
+      * -t ou -T : préciser l'utilisation d'un ticket kerberos
+<WRAP center round info>
+Pour retirer les tickets d’authentification actifs (invalider la session Kerberos), utilise la commande suivante :
+<code>
+kdestroy
+</code>
+Cela détruit le cache des tickets Kerberos (TGT et TGS). Options utiles :
+  * -A : supprime tous les caches si plusieurs existent.
+  * -q : mode silencieux.
+Par défaut, le cache est dans /tmp/krb5cc_<UID>.
+</WRAP>
 ==== Création du principal dnsbind ====
 Pour permettre au serveur Windows AD de s’authentifier automatiquement auprès du service BIND, un principal va être créé.
@@ Ligne 276: / Ligne 302: @@
 </code>
+Tester la création d'un enregistrement
+<code>
+// Authentification Kerberos avec le principal voulu avec saisie du mot de passe
+kinit DNS/nsO.agence.cub.fr@AGENCE.CUB.FR
+// Authentification Kerberos avec le principal voulu sans saisie du mot de passe
+kinit -k -t /etc/krb5.keytab DNS/nsO.agence.cub.fr@AGENCE.CUB.FR
+nsupdate -g
+> server ns0.agence.cub.fr
+> zone agence.cub.fr
+> update add test.agence.cub.fr 3600 A 192.168.1.50
+> send
+</code>
 ====  Utiliser le fichier keytab dans BIND pour les mises à jour dynamiques====
 Les lignes de configuration **tkey-gssapi-credential** et **tkey-domain** doivent être ajoutées dans le fichier **named.conf.options** de BIND9, dans le bloc options.