♦  So richten Sie eine Kerberos-Authentifizierung bei einer SQL Anywhere-Datenbank ein

1. Installieren und konfigurieren Sie die Kerberos-Clientsoftware, einschließlich der GSS-API-Laufzeitbibliothek, auf den Clients und Servern.

   Auf Windows-Clients, die Active Directory KDC verwenden, können Sie SSPI benutzen und brauchen keinen Kerberos-Client zu installieren. Weitere Hinweise finden Sie unter SSPI bei Kerberos-Logins unter Windows verwenden.

2. Falls erforderlich, erstellen Sie für jeden Benutzer einen Kerberos-Prinzipal im Kerberos Key Distribution Center (KDC, Schlüsselverteilungszentrum).

   Ein Kerberos-Prinzipal ist eine Kerberos-Benutzer-ID im Format Benutzer/Instanz@REALM, wobei /Instanz optional ist. Wenn Sie bereits Kerberos verwenden, sollte der Prinzipal vorhanden sein, daher brauchen Sie nicht einen Kerberos-Prinzipal für jeden Benutzer zu erstellen.

   Bei Prinzipalen wird die Groß-/Kleinschreibung berücksichtigt, d.h., sie müssen in der korrekten Schreibweise angegeben werden. Zuordnungen für mehrere Prinzipale, die sich nur in der Groß- und Kleinschreibung unterscheiden, werden nicht unterstützt (z.B. können Sie keine Zuordnungen für jjordan@MYREALM.COM und JJordan@MYREALM.COM erhalten).

3. Erstellen Sie einen Kerberos-Prinzipal für den SQL Anywhere-Datenbankserver.

   Der Kerberos-Prinzipal für die Datenbank hat das Format Servername@REALM, wobei Servername der SQL Anywhere-Datenbankservername ist. Bei Prinzipalen wird die Groß-/Kleinschreibung berücksichtigt, und der Servername darf keine Mehrbyte-Zeichen oder die Zeichen /, \ bzw. @ enthalten. Bei den folgenden Schritten wird angenommen, dass der Kerberos-Prinzipal my_server_princ@MYREALM.COM ist.

   Sie müssen einen Server Service Principal (SPN) im KDC erstellen, da Server eine Keytab-Datei für die KDC-Authentifizierung verwenden. Die Keytab-Datei ist geschützt und verschlüsselt.

4. Extrahieren Sie die Keytab-Datei für den Prinzipal Servername@REALM gesichert aus dem KDC und kopieren Sie sie auf den Computer, auf dem der SQL Anywhere-Datenbankserver läuft. Der Standardspeicherort der Keytab-Datei hängt vom Kerberos-Client und der Plattform ab. Die Berechtigungen für die Keytab-Datei sollten so eingerichtet sein, dass der SQL Anywhere-Server sie lesen kann, aber unbefugte Benutzer keine Leseberechtigung haben.

5. SQL Anywhere für die Verwendung mit Kerberos einrichten