1. Cree una cuenta de servicio, en Active Directory, para la función SSO de WebFOCUS.

   El valor especificado para Field1 debe empezar por HTTP, en mayúscula. El formato es

   HTTP/computername.domain.ext                  

   donde:

   computername.domain.ext

   Es el nombre completamente cualificado del equipo en que se va a instalar el Cliente WebFOCUS.

   El valor especificado para Field2 se convierte en el atributo sAMAccountName para la cuenta del servicio. El formato es

   http_computername                  

   donde:

   computername

   Es el nombre del equipo en que se va a instalar el Cliente WebFOCUS.

   La siguiente imagen presenta un ejemplo del cuadro de diálogo Nuevo objeto - usuario. Muestra los campos establecidos en el formato recomendado, indicando que el Cliente WebFOCUS va a quedar instalado en un equipo llamado wf-kerb.

   

2. En el cuadro de diálogo Nuevo objeto - usuario, pulse Siguiente. El cuadro de diálogo le pide que introduzca la contraseña, como indica la siguiente imagen.

   

   1. En los campos Contraseña y Confirmar contraseña, introduzca una contraseña.
   2. Seleccione las casillas de No se puede cambiar la contraseña y La contraseña nunca caduca, y pulse Siguiente.

      Aparece un cuadro de diálogo de confirmación, indicando que se va a crear el usuario con las propiedades mostradas.

3. Pulse Terminar para ir a las propiedades de la cuenta del servicio.
4. Revise las propiedades de la cuenta del servicio, como indica la siguiente imagen.

   

   Nota: La pestaña Delegación no aparece en el cuadro de diálogo Propiedades. La pestaña Delegación no aparece hasta que ejecute el comando ktpass, como se explica en el paso 5.

5. Ejecute el comando ktpass para establecer el atributo servicePrincipalName (SPN) en su cuenta de servicio, y generar el archivo Kerberos keytab de WebFOCUS.

   Debe ejecutar ktpass desde la línea de comandos, en una línea del controlador de dominios. Sustituya sus valores en el ejemplo siguiente. Mantenga una copia de la sintaxis del comando que esté utilizando. Puede que la necesite para solucionar problemas más adelante.

   El formato del comando ktpass es

   ktpass /out filename /mapuser user_ID /princ principal /crypto encryption/pass password /ptype KRB5_NT_PRINCIPAL

   donde:

   filename

   Es el nombre utilizado por ktpass para crear el archivo Kerberos keytab. El valor recomendado es http_computername.keytab.

   user_ID

   Es el valor de sAMAccountName introducido en el paso 1.

   principal

   Se especifica concatenando el valor de nombre de inicio de sesión del usuario, introducido en el paso 1, con REALM, donde REALM es el ámbito (realm) Kerberos. Por lo general, el ámbito Kerberos es igual que el sufijo DNS de Active Directory, a excepción de las mayúsculas.

   encryption

   Es la opción de cifrado utilizada durante la creación del archivo keytab. Puede que tenga que descargar las herramientas de soporte de Microsoft más recientes, para obtener una versión del comando ktpass compatible con el valor recomendado de RC4-HMAC-NT.

   Nota: Si alguno de los equipos de su red está ejecutando Windows 2008 R2, Windows 7, o superior, escoja RC4-HMAC-NT para que los equipos funcionen correctamente con Kerberos. Microsoft ha eliminado todo el soporte de DES en las versiones posteriores de Windows.

   password

   Es la contraseña de Windows asociada a la cuente de servicio, en texto simple.

   A continuación le mostramos el comando ktpass en el formato adecuado, correspondiente a los ejemplos citados anteriormente en esta sección:

   C:\>ktpass /out http_wf-kerb.keytab /mapuser http_wf-kerb /princ
   HTTP/wf-kerb.ibi.com@IBI.COM /crypto RC4-HMAC-NT /pass password1
   /ptype KRB5_NT_PRINCIPAL

   Windows responde con los siguientes mensajes:

   Targeting domain controller: ibidca.ibi.com
   Successfully mapped HTTP/wf-kerb.ibi.com to http_wf-kerb.
   Key created.
   Output keytab to http_wf-kerb.keytab:
   Keytab version: 0x502
   keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL)
   vno 2 etype
   0x17 (RC4-HMAC) keylength 16 (0x0df97e7355555817c828671454137af0)

   El comando ktpass añade un atributo llamado servicePrincipalName (SPN) y modifica el atributo userPrincipalName (UPN), como indica la siguiente imagen.

   

6. Localice la cuente del equipo en que va a instalar el Cliente WebFOCUS y seleccione el botón de radio Confiar en este equipo para delegación en cualquier servicio (sólo Kerberos), como indica la siguiente imagen.

   

7. Seleccione la cuenta de servicio.

   La pestaña Delegación aparece en el cuadro de diálogo Propiedades, como indica la siguiente imagen.

   

   Nota: La pestaña Delegación no aparece antes de ejecutar el comando ktpass. La pestaña Delegación queda disponible después de ejecutar el comando ktpass.

8. Si no está usando encabezados de host, copie el archivo keytab resultante (por ejemplo, http_wf-kerb.keytab) en el equipo en que va a instalar WebFOCUS. Si está usando encabezados de host, consulte los Pasos de pre-instalación para Windows 2003 y Windows 2008.

El siguiente procedimiento presupone la existencia de dos nombres de encabezado de host, wf-kerb1 y wf-kerb2.

1. Añada registros A para cada encabezado de host, en DNS, apuntando hacia la misma dirección IP como nombre NetBIOS.

   Nota: No cree registros C.

2. Ejecute un comando ktpass para cada encabezado de host, en el siguiente formato:

   ktpass /in filename /out filename /princ principal /crypto encryption/pass password /ptype KRB5_NT_PRINCIPAL

   1. Para wf-kerb1, ejecute el siguiente comando ktpass:

      ktpass /in c:\keytab\http_wf-kerb.keytab 
      /out c:\keytab\http_wf-kerb.keytab 
      /princ HTTP/wf-kerb1.ibi.com@IBI.COM /crypto RC4-HMAC-NT 
      /pass password1 /ptype KRB5_NT_PRINCIPAL

      La salida resultante es:

      Existing keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      NOTE: creating a keytab but not mapping principal to any user.
            For the account to work within a Windows domain, the
            principal must be mapped to an account, either at the
            domain level (with /mapuser) or locally (using ksetup)
            If you intend to map HTTP/wf-kerb1.ibi.com@IBI.COM to an
            account through other means or don't need to map the
            user, this message can safely be ignored.
      WARNING: pType and account type do not match. This might cause problems.
      Key created.
      Output keytab to c:\keytab\http_wf-kerb.keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      keysize 64 HTTP/wf-kerb1.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 1 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)

   2. Para wf-kerb2, ejecute el siguiente comando ktpass:

      ktpass /in c:\keytab\http_wf-kerb.keytab 
      /out c:\keytab\http_wf-kerb.keytab 
      /princ HTTP/wf-kerb2.ibi.com@IBI.COM /crypto RC4-HMAC-NT 
      /pass password1 /ptype KRB5_NT_PRINCIPAL

      La salida resultante es:

      Existing keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      keysize 64 HTTP/wf-kerb1.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 1 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      NOTE: creating a keytab but not mapping principal to any user.
            For the account to work within a Windows domain, the
            principal must be mapped to an account, either at the
            domain level (with /mapuser) or locally (using ksetup)
            If you intend to map HTTP/wf-kerb2.ibi.com@IBI.COM to an
            account through other means or don't need to map the
            user, this message can safely be ignored.
      WARNING: pType and account type do not match. This might cause problems.
      Key created.
      Output keytab to c:\keytab\http_wf-kerb.keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      keysize 64 HTTP/wf-kerb1.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 1 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)

3. Ejecute los siguientes comandos setspn:

   Nota: Haga referencia a cada encabezado de host utilizando el nombre completamente cualificado del dominio o el nombre de una parte. Por ejemplo, puede hacer referencia al primer encabezado de host como kerb1.ibi.com (nombre completamente cualificado del dominio), o wf-kerb1 (nombre de una parte). Por tanto, la ejecución de los comandos setspn produce cuatro entradas, en este paso.

   1. Ejecutar:

      setspn -A HTTP/wf-kerb1.ibi.com ibi\http_wf-kerb

      La salida resultante es:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb1.ibi.com
      Updated object

   2. Ejecutar:

      setspn -A HTTP/wf-kerb1 ibi\http_wf-kerb

      La salida resultante es:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb1
      Updated object

   3. Ejecutar:

      setspn -A HTTP/wf-kerb2.ibi.com ibi\http_wf-kerb

      La salida resultante es:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb2.ibi.com
      Updated object

   4. Ejecutar:

      setspn -A HTTP/wf-kerb2 ibi\http_wf-kerb

      La salida resultante es:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb2
      Updated object

1. Entre a WebFOCUS como administrador y seleccione Centro de seguridad del menú Administración.
2. Añada un ID de usuario administrativo al grupo Administradores. El formato de este ID de usuario depende de la propiedad kerberosPreference de stripDomainSuffix. El valor recomendado por defecto se encuentra establecido en verdadero, lo que indica que el ID de usuario no contiene información de sufijo del dominio.

   Si la información de sufijo del dominio es necesaria:

   <property name="stripDomainSuffix" value="false" />

   El ID de usuario se crea en el siguiente formato:

   user_ID@mydomain.extension

3. En el archivo unidad:\ibi\WebFOCUS81\config\securitysettings.xml file, efectúe los siguientes cambios:
   1. En la sección <bean id="filterPreference">, establezca los valores de anonymousAuthEnabled y formAuthEnabled en falso, y spnegoAuthEnabled, en verdadero.

      Ahora, la sección incluye el siguiente código:

      <property name="anonymousAuthEnabled" value="false"/>
      <property name="formAuthEnabled" value="false"/>
      <property name="stripDomainSuffix" value="true"/>
      .
      .
      .
      <property name="spnegoAuthEnabled" value="true"/>

   2. En la sección <bean id="kerberosPreference">, efectúe los siguientes cambios:

      <property name="servicePrincipal" value="HTTP/wf-kerb.ibi.com" />
      <property name="keyTabLocation" value="file:c:/ibi/WebFOCUS81/
         webapps/webfocus/WEB-INF/http_wf-kerb.keytab" />

4. Desde la Consola de administración, pulse Configuración, Servidores de informes y después, Servicios remotos.
5. Seleccione el modo Servidor de informes para la autenticación Kerberos y pulse Modificar.
6. Selecciones Kerberos y pulse Guardar.
7. Configure su navegador web antes de probar la configuración de inicio de sesión único de Kerberos.

Nota: Si quiere extender la capacidad SSO a un RDBMS, como Microsoft SQL Server, establezca la opción de seguridad de adaptador del Servidor de informes en Fiable.

1. Entre a WebFOCUS como administrador y seleccione Centro de seguridad del menú Administración.
2. Añada un ID de usuario administrativo al grupo Administradores. El formato de este ID de usuario depende de la propiedad kerberosPreference de stripDomainSuffix. El valor recomendado por defecto se encuentra establecido en verdadero, lo que indica que el ID de usuario no contiene información de sufijo del dominio.

   Si la información de sufijo del dominio es necesaria:

   <property name="stripDomainSuffix" value="false"/>

   El ID de usuario se crea en el siguiente formato:

   user_ID@mydomain.extension

3. En el archivo unidad:\ibi\WebFOCUS81\config\securitysettings.xml file, efectúe los siguientes cambios:
   1. En la sección <bean id="filterPreference">, establezca los valores de anonymousAuthEnabled y formAuthEnabled en falso, y spnegoAuthEnabled, en verdadero.

      Ahora, la sección incluye el siguiente código:

      <property name="anonymousAuthEnabled" value="false"/>
      <property name="formAuthEnabled" value="true"/>
      <property name="stripDomainSuffix" value="true"/>
      <property name="formAuthenticationFallbackEnabled" value="true"/>
      .
      .
      .
      <property name="spnegoAuthEnabled" value="true"/>

   2. En la sección <bean id="kerberosPreference">, efectúe los siguientes cambios:

      <property name="servicePrincipal" value="HTTP/wf-kerb.ibi.com"/>
      <property name="keyTabLocation" value="file:c:/ibi/WebFOCUS81/
         webapps/webfocus/WEB-INF/http_wf-kerb.keytab"/>

4. Desde la Consola de administración, pulse Configuración, Servidores de informes y después, Servicios remotos.
5. Seleccione el modo Servidor de informes para la autenticación Kerberos y pulse Modificar.
6. Selecciones Kerberos y pulse Guardar.
7. Configure su navegador web antes de probar la configuración de inicio de sesión único de Kerberos.

   Nota:

   • El formulario Autenticación para la introducción de credenciales puede ser interno (utiliza el Repositorio WebFOCUS) o externo (utiliza el Servidor de informes). Esto depende de la propiedad IBI_Authentication_Type.
   • Si quiere extender la capacidad SSO a un RDBMS, como Microsoft SQL Server, establezca la opción de seguridad de adaptador del Servidor de informes en Fiable.

1. Seleccione Opciones de Internet desde el menú Herramientas.
2. En la pestaña General, seleccione la zona Intranet local y pulse Sitios.
3. Pulse sobre Avanzado.
4. Introduzca un comodín para todos los nombres de host de su DNS que formen parte de su intranet local, o introduzca el nombre de un solo equipo en que se esté ejecutando WebFOCUS, y pulse Añadir, como indica la siguiente imagen.

   

5. Pulse Cerrar, Aceptar, y Aceptar nuevamente, para guardar el cambio.
6. Seleccione la pestaña Avanzado de Opciones de Internet y compruebe que Habilitar autenticación integrada de Windows está seleccionada en la sección Seguridad.

1. Introduzca about:config en el campo de dirección y oprima la tecla Enter.
2. Introduzca network.negotiate en el campo Buscar para localizar las dos propiedades fiables. Va a añadir su dominio a una de éstas.
3. Haga un doble clic en la entrada network.negotiate-auth.trusted-uris, añada la información del dominio, correspondiente al servidor que está ejecutando WebFOCUS, y pulse Aceptar.
4. Haga un doble clic en la entrada network.negotiate-auth.delegation-uris, como indica la siguiente imagen.

   

5. Añada la información del dominio y pulse Aceptar.

En la mayoría de los casos, Google Chrome no requiere ninguna configuración especial para los entornos de Microsoft Windows. Normalmente, la autenticación de NTML y Kerberos puede llevarse a cabo sin necesidad de cambios en las directivas de Chrome o parámetros de línea de comandos especiales. Si es necesario, puede configurar propiedades con los parámetros de línea de comandos.

Por ejemplo, para establecer el parámetro auth-server-whitelist, inicie Chrome desde la línea de comandos:

 "C:\Users\user\AppData\Local\Google\Chrome\Application\chrome.exe"
 --auth-server-whitelist="example.com"

1. Pruebe su configuración de inicio de sesión único de Kerberos accediendo a Business Intelligence Portal (BIP), desde uno de los navegadores configurados anteriormente.

   La sintaxis es:

   http://server.url.domain:port/context                  

   Si ha configurado Kerberos correctamente y, como se indicó anteriormente, ha añadido su ID de usuario a Managed Reporting, ya debe estar conectado a BIP con sus credenciales de Kerberos.

2. Asegúrese de que el Cliente WebFOCUS pueda delegar la autenticación en el Servidor de informes, mediante la ejecución de un informe basado en el nodo configurado para Kerberos.

   El archivo de registro edaprint del Servidor de informes registra request by cmrpip0000xx for Kerberos connect to agent, reflejando su ID de inicio de sesión de Windows, en formato UPN.

1. Entre a WebFOCUS como administrador y seleccione Consola ReportCaster del menú Herramientas.
2. Seleccione la pestaña Configuración y abra la carpeta Servidores de datos.
3. Seleccione el nodo deseado y modifique los siguientes ajustes.
   1. Desde la lista desplegable Tipo de seguridad, seleccione Usuario o Estático.
   2. Si selecciona Estático, pulse el botón a la derecha del campo Usuario.
   3. En el cuadro de diálogo Usuario, introduzca el ID de usuario y la contraseña, y pulse Aceptar.
   4. Pulse el botón Guardar para guardar sus cambios.

1. Cree un nuevo archivo de texto llamado krb5.ini.

   Puede crearlo en cualquier lugar del sistema de archivos, ya que más adelante incluirá una referencia explícita a su ubicación. Para este ejemplo, cree el archivo en:

   C:\ibi\WebFOCUS81\config\krb5.ini

2. Al principio del archivo krb5.ini, inserte las siguientes líneas de código para la sección [libdefaults].

   Sustituya el nombre de default_realm, MYDOMAIN.COM, en la última línea del ejemplo, por el nombre de DNS completamente cualificado del dominio del equipo al que se ha unido el Cliente WebFOCUS.

   Introduzca el nombre de default_realm en mayúscula.

   [libdefaults]   
       ticket_lifetime = 600   
       default_tgt_enctypes = rc4-hmac   
       default_tgs_enctypes = rc4-hmac   
       default_checksum     = rsa-md5   
       forwardable = true   
       default_realm = MYDOMAIN.COM

3. Después de la sección [libdefaults], inserte las siguientes líneas de código para la sección [realms]. Incluya una entrada para cada dominio o subdominio que vaya a utilizar, como indica el siguiente ejemplo.

   Si los dominios y subdominios comparten controladores de dominios, puede crear una sección [realms] aquí y hacer referencia a las relaciones en la próxima sección, [domain_realm]. La sección [domain_realm] aparece descrita en el paso 4.

   [realms]
   MYDOMAIN.COM = {   
      kdc = dc1.mydomain.com:88
      kdc = dc2.mydomain.com:88
      kdc = dc3.mydomain.com:88
      default_domain = mydomain.com
   }
   SUBA.MYDOMAIN.COM = {
      kdc = dc1.suba.mydomain.com:88
      kdc = dc2.suba.mydomain.com:88
      default_domain = suba.ibi.com
   }
   SUBB.MYDOMAIN.COM = {
      kdc = dc1.subb.mydomain.com:88
      kdc = dc2.subb.mydomain.com:88
      default_domain = subb.ibi.com
   }

   Al igual que en la sección [libdefaults], los valores de la sección [realms] distinguen el uso de mayúsculas y minúsculas. Por ejemplo, el nombre de la primera referencia (por ejemplo, MYDOMAIN.COM, en el primer bloque del ejemplo) debe estar en mayúscula, mientras que el valor de default_domain debe aparecer en minúscula.

   Cada entrada correspondiente a kdc debe hacer referencia al nombre DNS del controlador correspondiente al dominio en cuestión. Sólo se requiere una entrada de kdc por cada dominio listado; la presencia de múltiples entradas kdc puede dar lugar a redundancias.

4. Este paso es opcional. Para asignar dominios o nombres de host adicionales a un ámbito específico, inserte las siguientes líneas de código en la sección opcional [domain_realm].

   Los dominios se encuentran asignados a un ámbito del mismo nombre, aunque éste aparece en mayúscula. Como resultado, las siguientes entradas son redundantes:

   [domain_realm]
      .suba.mydomain.com = SUBA.MYDOMAIN.COM
      .subb.mydomain.com = SUBB.MYDOMAIN.COM
      .mydomain.com = MYDOMAIN.COM

   Para más información sobre la sección [domain_realm], consulte las especificaciones MIT Kerberos, en la siguiente página web:

   http://web.mit.edu/kerberos/krb5-1.4/krb5-1.4.1/doc/krb5-admin/domain_realm.html

5. Este paso es opcional. Si su sitio lo requiere, inserte las siguientes líneas de código en la sección opcional [capaths].

   La sección [capaths] sólo es necesaria en entornos cuyo dominio principal no tiene relaciones de confianza unilateral con todos los dominios secundarios, o en entornos con múltiples jerarquías de dominios.

   En estos casos, el protocolo de Kerberos no es capaz de determinar cómo autenticar un usuario de un dominio, correspondiente a un recurso en otro dominio. Como resultado, las relaciones requeridas para llevar a cabo la autenticación deben quedar asignadas para que Kerberos conozca qué ruta debe tomar para autenticar al usuario. Se aplican las siguientes relaciones de confianza:

   • El dominio SUBA.MYDOMAIN.COM confía de forma unilateral en SUBB.MYDOMAIN.COM.
   • El dominio SUBB.MYDOMAIN.COM confía de forma unilateral en MYDOMAIN.COM.
   • El dominio SUBA.MYDOMAIN.COM no confía en MYDOMAIN.COM.

   En este ejemplo, Kerberos puede autenticar directamente cualquier usuario de SUBA.MYDOMAIN.COM, para cualquier recurso en SUBB.MYDOMAIN.COM. Para autenticar usuarios en SUBA.MYDOMAIN.COM con MYDOMAIN.COM, debe autenticarlos a través de SUBB.MYDOMAIN.COM, puesto que SUBA.MYDOMAIN.COM no tiene una relación directa de confianza con MYDOMAIN.COM.

   [capaths]
   SUBA.MYDOMAIN.COM {
   SUBB.MYDOMAIN.COM = .
   MYDOMAIN.COM = SUBB.MYDOMAIN.COM
   }
   SUBB.MYDOMAIN.COM {
   SUBA.MYDOMAIN.COM = .
   MYDOMAIN.COM = .
   }
   MYDOMAIN.COM {
   SUBB.MYDOMAIN.COM = .
   SUBA.MYDOMAIN.COM = SUBB.MYDOMAIN.COM
   }

   En el primer bloque, es la información de autenticación del usuario de SUBA.MYDOMAIN.COM. Kerberos puede autenticar a un usuario directamente desde SUBA.MYDOMAIN.COM en base a SUBB.MYDOMAIN.COM, como indica el punto (.). Para autenticar un usuario de SUBA.MYDOMAIN.COM en base a MYDOMAIN.COM, Kerberos debe utilizar SUBB.MYDOMAIN.COM. Esto explica la presencia de MYDOMAIN.COM =SUBB.MYDOMAIN.COM. en el código.

   En el segundo bloque, es la información de autenticación del usuario de SUBB.MYDOMAIN.COM. Puesto que Kerberos puede autenticar a un usuario directamente desde SUBB.MYDOMAIN.COM en base a SUBA.MYDOMAIN.COM y MYDOMAIN.COM, se incluye un punto (.) en ambas columnas.

   En el tercer bloque, es la información de autenticación del usuario de MYDOMAIN.COM. Kerberos puede autenticar a un usuario directamente desde MYDOMAIN.COM, para los recursos en SUBB.MYDOMAIN.COM, como indica el punto (.). Kerberos debe pasar primero por SUBB.MYDOMAIN.COM para autenticar al usuario de SUBA.MYDOMAIN.COM.

   Para más información sobre el uso de la sección [capaths] con el protocolo Kerberos, consulte el siguiente documento de MIT:

   http://web.mit.edu/kerberos/krb5-1.5/krb5-1.5.4/doc/krb5-admin/capaths.html

Cuando haya terminado, su archivo kbr5.ini tendrá un aspecto similar a éste:

[libdefaults]
   ticket_lifetime = 600
   default_tgt_enctypes = rc4-hmac
   default_tgs_enctypes = rc4-hmac
   default_checksum = rsa-md5
   forwardable = true
   default_realm = MYDOMAIN.COM
[realms]
MYDOMAIN.COM = {
   kdc = dc1.mydomain.com:88
   kdc = dc2.mydomain.com:88
   kdc = dc3.mydomain.com:88
   default_domain = mydomain.com
}
SUBA.MYDOMAIN.COM = {
   kdc = dc1.suba.mydomain.com:88
   kdc = dc2.suba.mydomain.com:88
   default_domain = suba.ibi.com
}
SUBB.MYDOMAIN.COM = {
   kdc = dc1.subb.mydomain.com:88
   kdc = dc2.subb.mydomain.com:88
   default_domain = subb.ibi.com
}
[domain_realm]
   .suba.mydomain.com = SUBA.MYDOMAIN.COM
   .subb.mydomain.com = SUBB.MYDOMAIN.COM
   .mydomain.com = MYDOMAIN.COM
[capaths]
SUBA.MYDOMAIN.COM {
SUBB.MYDOMAIN.COM = .
MYDOMAIN.COM = SUBB.MYDOMAIN.COM
}
SUBB.MYDOMAIN.COM {
SUBA.MYDOMAIN.COM = .
MYDOMAIN.COM = .
}
MYDOMAIN.COM {
SUBB.MYDOMAIN.COM = .
SUBA.MYDOMAIN.COM = SUBB.MYDOMAIN.COM
}

Para que Kerberos utilice su archivo krb5.ini en WebFOCUS, haga referencia a la ubicación del archivo, mediante las siguiente opción de Java™. Puede especificar la opción -Djava.security.krb5.conf en Tomcat, como aparece en el siguiente procedimiento.

1. Vaya al directorio bin de Tomcat.

   Normalmente, el directorio bin se encuentra en:

   C:\ibi\tomcat\bin\

2. Haga un doble clic en tomcat7WFw.exe para abrir el cuadro de diálogo de configuración de Tomcat.
3. Seleccione la pestaña Java y añada la siguiente entrada al final de la lista de Opciones Java.

   -Djava.security.krb5.conf=C:\ibi\WebFOCUS81\config\krb5.ini

   Si escoge otra ubicación para almacenar su archivo krb5.ini, debe hacer referencia a ésta, en vez de la ubicación del ejemplo anterior.

4. Pulse Aplicar para guardar la configuración.
5. Detenga Tomcat y reinícielo para que entre en vigor la configuración.