MacOSX 10.5.2 で AFP の Kerberos 認証がおかしい？

更新して 10.5.2 にして以来か分からないが、AFPの共有の認証がうまく機能しなくなってしまった。

パケットをみる限り、AFPクライアントからKerberos認証が行われた形跡がない、、、どうもその前後で NetAuthAgent が落ちているのも気になる。

分からん。
そのうち直るんかいなぁ。

追記 (2008/03/19)

昨日公開された Security Update 2008-002 当ててみたところ、NetAuthAgent が落ちる現象は無くなって、Finderがフリーズ気味の症状は無くなった。

しかし、完全に AFP+Kerberos認証は無効になってしまった。

10.5.1

AFP-Client+Kerberos認証 が問題なく機能

10.5.2

AFP-Client+Kerberos認証 が機能しない、かつNetAuthAgent が落ちる。Finder がフリーズ気味

10.5.2 + Security Update 2008-002

AFP-Client+Kerberos認証 が機能しない。NetAuthAgent は安定。Finder もフリーズもしない

次の更新を乞うご期待！？かぁ、、、。

追記 (2008/05/29)

10.5.3 が出たので、更新したところ、状況は変わらない。。。

もう少し調べたところ

1. Finderの「サイドバー」の「共有」のエントリからアクセスした場合、Kerberos 認証は行われない。
2. Finder のメニュー「サーバへ接続」でサーバアドレス「afp://servername」を指定した場合、可能ならば Kerberos認証が行われる。
3. ゲスト認証ができないサーバに対して、2. の方法でマウントした場合、「サイドバー」からのアクセスとアンマウントの時に、頻繁にFinder がフリーズする。。。
4. 上記の 2. の方法でマウント済みのボリュームがあるサーバの別のボリュームは、1./2. の両方で Kerberos 認証が使われる。

要するに、Finder がAFP共有の一般的なKerberos認証(LKDCでない奴)での接続を想定していない？扱えてない？のが原因らしい。

えっと、Finder のバグ？かなぁ

対処療法としては、ファイルサーバはゲスト認証+Kerberos認証を有効にして、未マウントのサーバに対しては Finderのメニュー「サーバへ接続」を使えば良いらしい。

また次の更新を。。。

Open Directory の設定のまとめ 2008Q1

Leopard Server をサーバに利用しようと思えば、なんとか出来る。 去年だけど、いっぱい書いたのでちょっと纏めてみた。

1. 祝 Leopard Server げっと、、、10日後

認証

1. OpenDirectory で Feodra/CentOSを認証
2. OpenDirectory で Debian系を認証
3. OpenDirectory で FreeBSD/NetBSDを認証
4. OpenDirectory で Solaris8〜10を認証
5. nscd がちょっと詰まる

NFS/自動マウンタ

1. NFSv4とKerberosを組み合わせる
2. LinuxのNFSv4とNFSv3でエクスポートポイントを共通化
3. Linux の autofs とLDAPの関係はどうなってる
4. OpenDirectory で自動マウンタのマップ

netatalk

1. Leopard が netatalk サーバを自動的に見つられる設定
2. netatalk で Kerberos 認証

メールの Null クライアント

1. Nullクライアントでメールを集める - sendmail編
2. Nullクライアントでメールを集める - postfix編
3. Nullクライアントでメールを集める - exim4編

Nullクライアントでメールを集める - exim4編

Debian 標準のMTAは exim4 なので、コイツにも Null クライアントの設定をしてみましょう。あの exim4 の設定ファイルはなんと言うか、マクロ言語をまじめに実装せんでもいいのに、、、

インストール直後は「ローカル配信のみ」になっている。

1. 「スマートホストでメール送信; ローカルメールなし」に変更
2. mail name/visible domain name に example.com
3. smarthost にMail Hub のホスト名 にleopard.example.com

に変更する。

# debconf-show exim4-config | grep ^*
* exim4/dc_smarthost: leopard.example.com
* exim4/mailname: example.com
* exim4/dc_local_interfaces: 127.0.0.1
* exim4/dc_minimaldns: false
* exim4/dc_other_hostnames:
* exim4/dc_eximconfig_configtype: mail sent by smarthost; no local mail
* exim4/dc_readhost: example.com
* exim4/use_split_config: true

これで、ローカルもリモートも Mail Hub に送られることになる。

EXPOSED_USER を実現？

root ユーザのヘッダ送信者/ヘッダ受信者のみにホスト名を残すには、ちょっとした細工が必要である。

1. 独自 rewrite ルールを付け加える。
2. 「 設定ファイルを小さなファイルに分割」に設定
3. mail name/visible domain name に host.example.com

その独自 rewrite ルールファイルは次の通り

/etc/exim4/conf.d/rewrite/50_exim4-config_nullclient_rewriting

root@+local_domains *           frt
*@+local_domains    $1@example.com  Efrst

、、、ただ、あまりお勧めしない。

詳細は eximの配布元 のドキュメントを参照かなぁ。

追記

Open Directory の設定のまとめ 2008Q1