bgernert/docker-kerberos

Kerberos Docker镜像文档

镜像概述

该镜像是Docker化的Kerberos服务实现，基于Kerberos网络认证协议（主要支持V5版本），提供集中式身份验证机制。通过密钥分发中心（KDC）实现用户、服务等网络实体的身份验证，确保实体间通信的机密性和完整性，适用于构建需要强身份验证的安全网络环境。

核心功能与特性

协议与兼容性

• 完整支持Kerberos V5协议，兼容主流客户端实现（如MIT Kerberos、Heimdal）
• 提供密钥分发中心（KDC）核心功能，包括认证服务器（AS）和票据授予服务器（TGS）

安全特性

• 支持多种加密算法（AES-256、3DES、RC4等），可按需配置加密策略
• 基于对称密钥机制，避免明文密码传输
• 支持凭证有效期管理，降低凭证泄露风险

部署与配置

• 轻量化设计，基于最小化基础镜像，减少资源占用
• 支持自定义领域（Realm）配置，适应不同组织架构
• 环境变量驱动的配置方式，简化部署流程
• 支持持久化存储配置文件、密钥数据库和日志数据

使用场景与适用范围

典型应用场景

• 企业内部网络：为SSH、FTP、数据库（如MySQL、PostgreSQL）等服务提供统一身份验证
• 分布式系统：为Hadoop、Kubernetes、Spark等分布式平台提供节点间认证
• 云原生环境：在容器集群中实现跨服务、跨节点的安全身份验证
• 开发测试环境：快速搭建Kerberos测试环境，验证应用的认证集成能力

适用范围

• 需满足合规要求（如PCI-DSS、HIPAA）的行业系统
• 对身份验证安全性要求较高的***、政务、***等领域
• 存在多服务、多用户的复杂网络架构

使用方法与配置说明

快速启动（docker run）

通过以下命令快速启动Kerberos KDC服务：

bash
docker run -d \
  --name kerberos-kdc \
  -e KRB_REALM=EXAMPLE.COM \
  -e KRB_ADMIN_USER=admin \
  -e KRB_ADMIN_PASSWORD=SecurePass123! \
  -v /host/path/to/krb5-data:/var/lib/krb5kdc \
  -p 88:88/udp \
  -p 88:88/tcp \
  -p 464:464/udp \
  -p 464:464/tcp \
  docker.xuanyuan.run/kerberos-image:latest

说明：

• -p 88：KDC认证端口（TCP/UDP）
• -p 464：KDC管理端口（TCP/UDP，用于kadmin操作）
• -v：挂载宿主机目录持久化存储KDC数据

环境变量配置

持久化存储

为避免容器重启后配置和数据丢失，需挂载以下目录：

自定义配置

如需高级配置，可通过挂载配置文件实现：

1. 创建自定义krb5.conf文件（示例）：

   ini
   [libdefaults]
     default_realm = EXAMPLE.COM
     dns_lookup_realm = false
     dns_lookup_kdc = false
     ticket_lifetime = 24h
     renew_lifetime = 7d
     forwardable = true
   
   [realms]
     EXAMPLE.COM = {
       kdc = kdc.example.com:88
       admin_server = kdc.example.com:464
       default_domain = example.com
     }
   

2. 挂载配置文件到容器：

   bash
   docker run -d \
     --name kerberos-kdc \
     -v /host/path/to/krb5.conf:/etc/krb5.conf \
     -v /host/path/to/krb5kdc:/var/lib/krb5kdc \
     -p 88:88 -p 464:464 \
     docker.xuanyuan.run/kerberos-image:latest
   

验证服务状态

1. 进入容器内部：

   bash
   docker exec -it kerberos-kdc bash
   

2. 使用kadmin.local管理工具验证KDC状态：

   bash
   kadmin.local -q "listprincs"
   

   预期输出应包含管理员用户（如admin/admin@EXAMPLE.COM）及KDC自身服务主体。

3. 添加测试用户：

   bash
   kadmin.local -q "addprinc testuser@EXAMPLE.COM"
   

   根据提示设置密码后，即可通过客户端工具（如kinit）验证认证流程。

注意事项

• 生产环境中需使用强密码策略，并定期轮换KDC密钥
• 建议通过Docker Compose或容器编排工具（如Kubernetes）管理服务，确保高可用性
• 网络层面需限制KDC端口（88/464）的访问来源，仅允许可信客户端连接
• 长期运行时需监控KDC日志，及时发现认证异常和潜在安全风险