doc/man-pages/pod8/kaserver.pod

   1 =head1 NAME
   2
   3 kaserver - Initializes the Authentication Server
   4
   5 =head1 SYNOPSIS
   6
   7 =for html
   8 <div class="synopsis">
   9
  10 B<kaserver> [B<-noAuth>] [B<-database> <I<dbpath>>]
  11     S<<< [B<-auditlog> <I<log path>>] >>> [B<-audit-interface> (file | sysvmq)]
  12     S<<< [B<-localfiles> <I<lclpath>>] >>> S<<< [B<-minhours> <I<n>>] >>>
  13     S<<< [B<-servers> <I<serverlist>>] >>> [B<-enable_peer_stats>]
  14     [B<-enable_process_stats>] [B<-help>]
  15
  16 =for html
  17 </div>
  18
  19 =head1 DESCRIPTION
  20
  21 The B<kaserver> command initializes the Authentication Server, an obsolete
  22 way of providing authentication services to an AFS cell. It should no
  23 longer be used; instead, it should be replaced with a Kerberos version 5
  24 KDC. It is provided only for support of sites already running the
  25 Authentication Server and that have not yet migrated to Kerberos version
  26 5.
  27
  28 For a cell using the Authentication Server, it runs on every database
  29 server machine. In the conventional configuration, its binary file is
  30 located in the F</usr/afs/bin> directory on a file server machine.
  31
  32 The B<kaserver> command is not normally issued at the command shell prompt
  33 but rather placed into a file server machine's F</usr/afs/local/BosConfig>
  34 file with the B<bos create> command. If it is ever issued at the command
  35 shell prompt, the issuer must be logged onto a database server machine as
  36 the local superuser C<root>.
  37
  38 As it initializes, the Authentication Server process creates the two files
  39 that constitute the Authentication Database, F<kaserver.DB0> and
  40 F<kaserver.DBSYS1>, in the F</usr/afs/db> directory if they do not already
  41 exist. Use the commands in the B<kas> suite to administer the database.
  42
  43 The Authentication Server is responsible for several aspects of AFS
  44 security, including:
  45
  46 =over 4
  47
  48 =item *
  49
  50 Maintenance of all AFS server encryption keys and user passwords in the
  51 Authentication Database.
  52
  53 =item *
  54
  55 Creation of the tickets and tokens that users and servers use to establish
  56 secure connections. Its Ticket Granting Service (TGS) component performs
  57 this function.
  58
  59 =back
  60
  61 The Authentication Server records a trace of its activity in the
  62 F</usr/afs/logs/AuthLog> file. Use the B<bos getlog> command to display
  63 the contents of the file. Use the B<kdb> command to read the protected
  64 files associated with the F<AuthLog> file, F<AuthLog.dir> and
  65 F<AuthLog.pag>.
  66
  67 This command does not use the syntax conventions of the AFS command
  68 suites. Provide the command name and all option names in full.
  69
  70 =head1 CAUTIONS
  71
  72 The Authentication Server provides only Kerberos version 4, which is no
  73 longer considered sufficiently secure. It can only use DES encryption for
  74 user keys, is vulnerable to known flaws in the Kerberos version 4
  75 protocol, and is based on protocols that are obsolete and no longer
  76 developed. The Authentication Server is also not widely tested and is
  77 known to have problems on some platforms OpenAFS otherwise supports.
  78
  79 The Authentication Server should not be used for any new deployment. It is
  80 provided only for sites that need to use it while preparing for a
  81 migration to Kerberos KDC. No significant updates to the Authentication
  82 Server will be developed, and it will be removed from a future version of
  83 OpenAFS.
  84
  85 =head1 OPTIONS
  86
  87 =over 4
  88
  89 =item B<-noAuth>
  90
  91 Assigns the unprivileged identity C<anonymous> to the issuer. Thus, it
  92 establishes an unauthenticated connection between the issuer and the
  93 Authentication Server. It is useful only when authorization checking is
  94 disabled on the database server machine. In normal circumstances, the
  95 Authentication Server allows only authorized (privileged) users to issue
  96 commands that affect or contact the Authentication Database and will
  97 refuse to perform such an action even if the B<-noAuth> flag is used.
  98
  99 =item B<-database> <I<dbpath>>
 100
 101 Specifies the pathname of an alternate directory in which the
 102 Authentication Database files reside. Provide the complete pathname,
 103 ending in the base filename to which the C<.DB0> and C<.DBSYS1> extensions
 104 are appended. For example, the appropriate value for the default database
 105 files is F</usr/afs/db/kaserver>.
 106
 107 Provide the B<-localfiles> argument along with this one; otherwise, the
 108 B<-localfiles> argument is also set to the value of this argument, which
 109 is probably inappropriate.
 110
 111 =item B<-auditlog> <I<log path>>
 112
 113 Turns on audit logging, and sets the path for the audit log.  The audit
 114 log records information about RPC calls, including the name of the RPC
 115 call, the host that submitted the call, the authenticated entity (user)
 116 that issued the call, the parameters for the call, and if the call
 117 succeeded or failed.
 118
 119 =item B<-audit-interface> (file | sysvmq)
 120
 121 Specifies what audit interface to use. Defaults to C<file>. See
 122 L<fileserver(8)> for an explanation of each interface.
 123
 124 =item B<-localfiles> <I<lclpath>>
 125
 126 Specifies the pathname of an alternate directory in which the auxiliary
 127 Authentication Database file resides. Provide the complete pathname,
 128 ending in the base filename to which the C<auxdb> suffix is appended. For
 129 example, the appropriate value for the default auxiliary database file is
 130 F</usr/afs/local/kaserver>.
 131
 132 =item B<-minhours> <I<n>>
 133
 134 Specifies the minimum number of hours that must pass between password
 135 changes made by any regular user. System administrators (with the C<ADMIN>
 136 flag in their Authentication Database entry) can change passwords as often
 137 as desired. Setting a minimum time between password changes is not
 138 recommended.
 139
 140 =item B<-servers> <I<authentication servers>>+
 141
 142 Names each database server machine running an Authentication Server with
 143 which the local Authentication Server is to synchronize its copy of the
 144 Authentication Database, rather than with the machines listed in the local
 145 F</usr/afs/etc/CellServDB> file.
 146
 147 =item B<-enable_peer_stats>
 148
 149 Activates the collection of Rx statistics and allocates memory for their
 150 storage. For each connection with a specific UDP port on another machine,
 151 a separate record is kept for each type of RPC (FetchFile, GetStatus, and
 152 so on) sent or received. To display or otherwise access the records, use
 153 the Rx Monitoring API.
 154
 155 =item B<-enable_process_stats>
 156
 157 Activates the collection of Rx statistics and allocates memory for their
 158 storage. A separate record is kept for each type of RPC (FetchFile,
 159 GetStatus, and so on) sent or received, aggregated over all connections to
 160 other machines. To display or otherwise access the records, use the Rx
 161 Monitoring API.
 162
 163 =item B<-help>
 164
 165 Prints the online help for this command. All other valid options are
 166 ignored.
 167
 168 =back
 169
 170 =head1 EXAMPLES
 171
 172 The following B<bos create> command creates a C<kaserver> process on
 173 C<fs3.example.com> (the command appears on two lines here only for
 174 legibility):
 175
 176    % bos create -server fs3.example.com -instance kaserver \
 177                 -type simple -cmd /usr/afs/bin/kaserver
 178
 179 =head1 PRIVILEGE REQUIRED
 180
 181 The issuer must be logged in as the superuser C<root> on a file server
 182 machine to issue the command at a command shell prompt. It is conventional
 183 instead to create and start the process by issuing the B<bos create>
 184 command.
 185
 186 =head1 SEE ALSO
 187
 188 L<AuthLog(5)>,
 189 L<BosConfig(5)>,
 190 L<CellServDB(5)>,
 191 L<kaserver.DB0(5)>,
 192 L<kaserverauxdb(5)>,
 193 L<bos(8)>,
 194 L<bos_create(8)>,
 195 L<bos_getlog(8)>,
 196 L<kas(8)>,
 197 L<kdb(8)>
 198
 199 =head1 COPYRIGHT
 200
 201 IBM Corporation 2000. <http://www.ibm.com/> All Rights Reserved.
 202
 203 This documentation is covered by the IBM Public License Version 1.0.  It was
 204 converted from HTML to POD by software written by Chas Williams and Russ
 205 Allbery, based on work by Alf Wachsmann and Elizabeth Cassell.