1. Crie uma conta de serviço no Active Directory para o recurso WebFOCUS SSO.

   O valor especificado para Campo 1 deve começar com HTTP em maiúsculas. O formato do é

   HTTP/computername.domain.ext                  

   onde:

   nomedocomputador.domínio.ext

   É o nome de domínio totalmente qualificado da máquina na qual o WebFOCUS Client será instalado.

   O valor especificado para Campo 2 se torna o atributo sAMAccountName para a conta de serviço. O formato do é

   http_computername                  

   onde:

   nomedocomputador

   É o nome da máquina na qual o WebFOCUS será instalado.

   A imagem a seguir é um exemplo da caixa de diálogo Novo Objeto - Usuário. Mostra campos que são definidos no formato recomendado, indicando que o WEBFOCUS Client será instalado em uma máquina de nome wf-kerb.

   

2. Na caixa de diálogo Novo Objeto - Usuário, clique em Próximo. A caixa de diálogo solicita a senha, como ilustrado na imagem a seguir.

   

   1. Nos campos Senha e Confirmar senha, digite uma senha.
   2. Marque as caixas de seleção Usuário não pode alterar a senha e Senha nunca vence. Em seguida, clique em Próximo.

      Uma caixa de diálogo de confirmação se abre, indicando que o usuário será criado com as propriedades exibidas.

3. Clique em Concluir para ir para as propriedades de serviço de conta.
4. Revise as propriedades para a conta de serviço, como mostrado na imagem a seguir.

   

   Observação: A guia Delegação não é exibida na caixa de diálogo Propriedades. A guia Delegação não será exibida até que você execute o comando ktpass, como descrito na etapa 5.

5. Execute o comando ktpass para definir o atributo servicePrincipalName (SPN na sua conta de serviço e gerar o arquivo keytab do Kerberos para o WebFOCUS.

   Deve-se executar o ktpass a partir da linha de comando no controlador de domínio em uma linha. Substitua seus valores no exemplo como a seguir. Mantenha uma cópia da sintaxe de comando que você utiliza. Pode ser necessário para resolução de problemas no futuro.

   O formato do comando ktpass é

   ktpass /out filename /mapuser user_ID /princ principal /crypto encryption/pass password /ptype KRB5_NT_PRINCIPAL

   onde:

   Nome do arquivo

   É o nome que o ktpass irá utilizar para criar o arquivo keytab do Kerberos. O valor recomendado é http_nomedocomputador.keytab.

   user_ID

   É o valor sAMAccountName fornecido na etapa 1.

   principal

   É especificado através da concatenação do valor do nome de conexão do usuário fornecido na etapa 1 com @REALM, onde REALM é o domínio Kerberos. O domínio do Kerberos é normalmente o mesmo do sufixo Active Directory DNS, mas deve estar em maiúsculas.

   criptografia

   É a opção de criptografia que será utilizada na criação do arquivo keytab. Você pode precisar baixar as mais recentes ferramentas de suporte da Microsoft para uma versão do comando ktpass que suporta o valor recomendado de RC4-HMAC-NT.

   Observação: Se qualquer uma das máquinas na sua rede estiver executando o Windows 2008 R2, Windows 7 ou mais recente, você deve escolher RC4-HMAC-NT para que estas máquinas funcionem adequadamente com o Kerberos. A Microsoft removeu todo o suporte para DES das versões mais recentes do Windows.

   password

   É a senha do Windows associada à conta de serviço em texto simples.

   Um comando ktpass formatado corretamente que se aplica aos exemplos fornecidos anteriormente nesta seção é:

   C:\>ktpass /out http_wf-kerb.keytab /mapuser http_wf-kerb /princ
   HTTP/wf-kerb.ibi.com@IBI.COM /crypto RC4-HMAC-NT /pass password1
   /ptype KRB5_NT_PRINCIPAL

   O Windows responde com as seguintes mensagens:

   Targeting domain controller: ibidca.ibi.com
   Successfully mapped HTTP/wf-kerb.ibi.com to http_wf-kerb.
   Key created.
   Output keytab to http_wf-kerb.keytab:
   Keytab version: 0x502
   keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL)
   vno 2 etype
   0x17 (RC4-HMAC) keylength 16 (0x0df97e7355555817c828671454137af0)

   O comando ktpass adiciona um atributo chamado serviceprincipalName (SPN) e modifica o atributo userPrincipalName, como ilustrado na imagem a seguir.

   

6. Localize a conta do computador onde você irá instalar o WebFOCUS Client e selecione a opção Confiar neste computador para delegação para qualquer serviço (apenas Kerberos), como ilustrado na imagem a seguir.

   

7. Selecione a conta de serviço.

   Agora, a guia Delegação é exibida na caixa de diálogo Propriedades, como ilustrado na imagem a seguir.

   

   Observação: Antes da execução do comando ktpass, a guia Delegação não será exibida. Após a execução do comando ktpass, a opção Delegação se tornará disponível.

8. Se você não estiver utilizando cabeçalhos de host, copie o arquivo keytab resultante (por exemplo, http_kerb.keytab) na máquina na qual você irá instalar o WebFOCUS. Se você estiver utilizando cabeçalhos de host, consulte Etapas de Pré-Instalação para Windows 2003 e Windows 2008.

O procedimento a seguir presume que há dois nomes de cabeçalho de host, wf-kerb1 e wf-kerb2.

1. Adicione registros A para cada cabeçalho de host no DNS, apontando para o mesmo endereço de IP que o nome do NetBIOS.

   Observação: Não crie registros C.

2. Execute um comando ktpass para cada cabeçalho de host utilizando o formato a seguir:

   ktpass /in filename /out filename /princ principal /crypto encryption/pass password /ptype KRB5_NT_PRINCIPAL

   1. Para wf-kerb1, execute o comando ktpass a seguir:

      ktpass /in c:\keytab\http_wf-kerb.keytab 
      /out c:\keytab\http_wf-kerb.keytab 
      /princ HTTP/wf-kerb1.ibi.com@IBI.COM /crypto RC4-HMAC-NT 
      /pass password1 /ptype KRB5_NT_PRINCIPAL

      A saída resulante é:

      Existing keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      NOTE: creating a keytab but not mapping principal to any user.
            For the account to work within a Windows domain, the
            principal must be mapped to an account, either at the
            domain level (with /mapuser) or locally (using ksetup)
            If you intend to map HTTP/wf-kerb1.ibi.com@IBI.COM to an
            account through other means or don't need to map the
            user, this message can safely be ignored.
      WARNING: pType and account type do not match. This might cause problems.
      Key created.
      Output keytab to c:\keytab\http_wf-kerb.keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      keysize 64 HTTP/wf-kerb1.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 1 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)

   2. Para wf-kerb2, execute o comando ktpass a seguir:

      ktpass /in c:\keytab\http_wf-kerb.keytab 
      /out c:\keytab\http_wf-kerb.keytab 
      /princ HTTP/wf-kerb2.ibi.com@IBI.COM /crypto RC4-HMAC-NT 
      /pass password1 /ptype KRB5_NT_PRINCIPAL

      A saída resulante é:

      Existing keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      keysize 64 HTTP/wf-kerb1.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 1 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      NOTE: creating a keytab but not mapping principal to any user.
            For the account to work within a Windows domain, the
            principal must be mapped to an account, either at the
            domain level (with /mapuser) or locally (using ksetup)
            If you intend to map HTTP/wf-kerb2.ibi.com@IBI.COM to an
            account through other means or don't need to map the
            user, this message can safely be ignored.
      WARNING: pType and account type do not match. This might cause problems.
      Key created.
      Output keytab to c:\keytab\http_wf-kerb.keytab:
      Keytab version: 0x502
      keysize 63 HTTP/wf-kerb.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 2 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)
      keysize 64 HTTP/wf-kerb1.ibi.com@IBI.COM ptype 1 (KRB5_NT_PRINCIPAL) vno 1 etype
      0x17 (RC4-HMAC) keylength 16 (0x5835048ce94ad0564e29a924a03510ef)

3. Execute os comandos setspn a seguir.

   Observação: É possível se referir a cada cabeçalho de host de duas formas: utilizando o nome do domínio totalmente qualificado ou o nome com uma parte. Por exemplo, você pode se referir ao primeiro cabeçalho de host como wf-kerb1.ibi.com (nome de domínio totalmente qualificado) ou como wf-kerb1 (nome com uma parte). Como resultado, quando você executa os comandos setspn neste passo, há quatro entradas.

   1. Executar:

      setspn -A HTTP/wf-kerb1.ibi.com ibi\http_wf-kerb

      A saída resulante é:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb1.ibi.com
      Updated object

   2. Executar:

      setspn -A HTTP/wf-kerb1 ibi\http_wf-kerb

      A saída resulante é:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb1
      Updated object

   3. Executar:

      setspn -A HTTP/wf-kerb2.ibi.com ibi\http_wf-kerb

      A saída resulante é:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb2.ibi.com
      Updated object

   4. Executar:

      setspn -A HTTP/wf-kerb2 ibi\http_wf-kerb

      A saída resulante é:

      Registering ServicePrincipalNames for CN=http_wf-kerb,OU=USERS,OU=DEVELOPMENT,
      O=BIPG,OU=COR,DC=ibi,DC=com
             HTTP/wf-kerb2
      Updated object

1. Conecte-se ao WebFOCUS como um administrador e selecione Central de Segurança no menu Administração.
2. Adicione um ID de usuário administrativo ao grupo Administradores. O formato deste ID de usuário dependerá da definição kerkerosPreference do stripDomainSuffix. O valor padrão recomendado está definido como verdadeiro, o que significa que o ID de usuário não conterá informações do sufixo do domínio.

   Se as informações do sufixo do domínio forem necessárias:

   <property name="stripDomainSuffix" value="false" />

   O ID de usuário será criado no seguinte formato:

   user_ID@mydomain.extension

3. No drive:\ibi\WebFOCUS81\config\securitysettings.xml file, faça as seguintes alterações:
   1. Na seção <bean id="filterPreference">, defina os valores para anonymousAuthEnabled e formAuthEnabled como falso, e spnegoAuthEnabled como verdadeiro.

      A seção agora contém o seguinte código:

      <property name="anonymousAuthEnabled" value="false"/>
      <property name="formAuthEnabled" value="false"/>
      <property name="stripDomainSuffix" value="true"/>
      .
      .
      .
      <property name="spnegoAuthEnabled" value="true"/>

   2. Na seção <bean id="kerberosPreference">, faça as seguintes alterações:

      <property name="servicePrincipal" value="HTTP/wf-kerb.ibi.com" />
      <property name="keyTabLocation" value="file:c:/ibi/WebFOCUS81/
         webapps/webfocus/WEB-INF/http_wf-kerb.keytab" />

4. No Console Administrativo, selecione Configuração, em seguida Servidores de Relatórios e Serviços Remotos.
5. Selecione o modo Servidor de Relatórios para autenticação Kerberos e clique em Modificar.
6. Selecione Kerberos e clique em Salvar.
7. Configure o seu navegador da web antes de testar a configuração de conexão única do seu Kerberos.

Observação:Se você deseja estender o recurso SSO para um RDBMS, como o Microsoft SQL Server, defina a opção de segurança do adaptador do Servidor de Relatórios como Confiável.

1. Conecte-se ao WebFOCUS como um administrador e selecione Central de Segurança no menu Administração.
2. Adicione um ID de usuário administrativo ao grupo Administradores. O formato deste ID de usuário dependerá da definição kerkerosPreference do stripDomainSuffix. O valor padrão recomendado está definido como verdadeiro, o que significa que o ID de usuário não conterá informações do sufixo do domínio.

   Se as informações do sufixo do domínio forem necessárias:

   <property name="stripDomainSuffix" value="false"/>

   O ID de usuário será criado no seguinte formato:

   user_ID@mydomain.extension

3. No drive:\ibi\WebFOCUS81\config\securitysettings.xml file, faça as seguintes alterações:
   1. Na seção <bean id="filterPreference">, defina os valores para anonymousAuthEnabled e formAuthEnabled como falso, e spnegoAuthEnabled como verdadeiro.

      A seção agora contém o seguinte código:

      <property name="anonymousAuthEnabled" value="false"/>
      <property name="formAuthEnabled" value="true"/>
      <property name="stripDomainSuffix" value="true"/>
      <property name="formAuthenticationFallbackEnabled" value="true"/>
      .
      .
      .
      <property name="spnegoAuthEnabled" value="true"/>

   2. Na seção <bean id="kerberosPreference">, faça as seguintes alterações:

      <property name="servicePrincipal" value="HTTP/wf-kerb.ibi.com"/>
      <property name="keyTabLocation" value="file:c:/ibi/WebFOCUS81/
         webapps/webfocus/WEB-INF/http_wf-kerb.keytab"/>

4. No Console Administrativo, selecione Configuração, em seguida Servidores de Relatórios e Serviços Remotos.
5. Selecione o modo Servidor de Relatórios para autenticação Kerberos e clique em Modificar.
6. Selecione Kerberos e clique em Salvar.
7. Configure o seu navegador da web antes de testar a configuração de conexão única do seu Kerberos.

   Comunicado:

   • O formulário de Autenticação para a inserção de credenciais pode ser interno, utilizando o WebFOCUS Repository, ou externo, utilizando o Reporting Server. Isto depende da definição IBI_Authentication_Type.
   • Se você deseja estender o recurso SSO para um RDBMS, como o Microsoft SQL Server, defina a opção de segurança do adaptador do Servidor de Relatórios como Confiável.

1. Selecione Opções da Internet a partir do menu Ferramentas.
2. Na guia Segurança, selecione a zona Intranet local e clique em Sites.
3. Clique em Avançado.
4. Digite um curinga para todos os nomes de host no seu DNS que serão considerados parte da intranet local ou digite o nome de apenas uma máquina da qual o WebFOCUS será executado e clique em Adicionar, como ilustrado na imagem a seguir.

   

5. Clique em Fechar, em seguida, em OK e novamente em OK para salvar a alteração.
6. Selecione a guia Avançado das Opções da Internet e certifique-se de que Habilitar a Autenticação Integrada do Windows esteja selecionada na seção Segurança.

1. Digite about:config no campo de endereço e pressione a tecla Enter.
2. Digite network.negotiate no campo Pesquisar para localizar as duas definições confiáveis. Você adicionará o seu domínio a estas duas definições.
3. Clique duas vezes em network.negotiate-auth.trusted-uris, adicione as informações de domínio para o servidor que executa o WebFOCUS e, em seguida, clique em OK.
4. Clique duas vezes em network.negotiate-auth.delegation-uris, como ilustrado na imagem a seguir.

   

5. Adicione as informações de domínio e clique em OK.

Na maioria dos casos, não é necessária configuração especial para o Google Chrome em ambientes do Microsoft Windows. Ambas as autenticações NTLM e Kerberos podem ser normalmente concluídas sem qualquer alteração na política do Chrome ou parâmetro de linha de comando especial. Se necessário, as definições podem ser configuradas com os parâmetros da linha de comando.

Por exemplo, para definir o parâmetro auth-server-whitelist, inicie o Chrome a partir da linha de comando da seguinte forma:

 "C:\Users\user\AppData\Local\Google\Chrome\Application\chrome.exe"
 --auth-server-whitelist="example.com"

1. Teste a sua configuração de conexão única do Kerberos acessando o Business Intelligence Portal (BIP) por um dos navegadores previamente configurados.

   A sintaxe é:

   http://server.url.domain:port/context                  

   Se o Kerberos estiver configurado corretamente e o seu ID de usuário tiver sido adicionado ao Managed Reporting como indicado anteriormente, a conexão ao BIP será efetuada utilizando as suas credenciais do Kerberos.

2. Certifique-se de que o WebFOCUS Client pode delegar a autenticação parao Reporting Server tentando executar um relatório no nó configurado pelo Kerberos.

   O arquivo de log edaprint do Reporting Server irá registrar solicitação de cmrpip0000xx para que o Kerberos se conecte ao agente e refletirá o seu ID de conexão do Windows no formato UPN.

1. Conecte-se ao WebFOCUS como um administrador e selecione Console do ReportCaster no menu Ferramentas.
2. Selecione a guia Configuração e abra a pasta Servidores de Dados.
3. Selecione o nó desejado e altere as seguintes definições.
   1. A partir da lista suspensa Tipo de Segurança, selecione Usuário ou Estático.
   2. Se você selecionar Estático, clique no botão à direita do campo Usuário.
   3. Na caixa de diálogo Usuário, digite o ID de usuário e sua senha e clique em OK.
   4. Clique no botão Salvar para salvar as suas alterações.

1. Crie um arquivo de texto novo com o nome krb5.ini.

   É possível criar este arquivo em qualquer lugar do sistema de arquivos, já que você irá se referir ao seu local explicitamente no futuro. Para os fins deste exemplo, crie o arquivo em:

   C:\ibi\WebFOCUS81\config\krb5.ini

2. No início do arquivo krb5.ini, insira as seguintes linhas de código para a seção [libdefaults].

   Substitua o nome default_realm, MYDOMAIN.COM, na última linha do exemplo, pelo nome DNS totalmente qualificado para o domínio da máquina a qual o WebFOCUS Client se uniu.

   Digite o nome para default_realm em maiúsculas, já que este campo faz diferenciação entre maiúsculas e minúsculas.

   [libdefaults]   
       ticket_lifetime = 600   
       default_tgt_enctypes = rc4-hmac   
       default_tgs_enctypes = rc4-hmac   
       default_checksum     = rsa-md5   
       forwardable = true   
       default_realm = MYDOMAIN.COM

3. Após a seção [libdefaults], insira as seguintes linhas de código para a seção [realms]. Inclua umaentrada para cada domínio e subdomínio que você usará, como ilustrado na imagem a seguir.

   Se os domínios e subdomínios compartilharem controladores de domínios, você pode criar uma seção [realms] aqui e criar referências para as relações na próxima seção, [domain_realm]. A seção [domain_realm] está descrita na etapa 4.

   [realms]
   MYDOMAIN.COM = {   
      kdc = dc1.mydomain.com:88
      kdc = dc2.mydomain.com:88
      kdc = dc3.mydomain.com:88
      default_domain = mydomain.com
   }
   SUBA.MYDOMAIN.COM = {
      kdc = dc1.suba.mydomain.com:88
      kdc = dc2.suba.mydomain.com:88
      default_domain = suba.ibi.com
   }
   SUBB.MYDOMAIN.COM = {
      kdc = dc1.subb.mydomain.com:88
      kdc = dc2.subb.mydomain.com:88
      default_domain = subb.ibi.com
   }

   Com na seção [libdefaults], os valores na seção [realms] possuem diferenciação entre minúsculas e maiúsculas. Por exemplo, o primeiro nome de referência (como MYDOMAIN.COM no primeiro bloco do exemplo) deve estar em maiúsculas e o valor para default_domain, em minúsculas.

   Cadaentrada para kdc deve ser referir ao nome do DNS de um controlador de domínio para o domínio aplicável. Apenas uma entrada kdc é necessária por domínio listado, mas diversas entradas kdc permitem redundância.

4. Esta etapa é opcional. Para mapear domínios adicionais ou nomes de host para um domínio em específico, insira as linhas de código a seguir na seção [domain_realm] opcional.

   Um domínio direciona para o domínio de mesmo nome, mas em letras maiúsculas. Como resultado, as seguintes entradas são redundantes:

   [domain_realm]
      .suba.mydomain.com = SUBA.MYDOMAIN.COM
      .subb.mydomain.com = SUBB.MYDOMAIN.COM
      .mydomain.com = MYDOMAIN.COM

   Para obter mais informações sobre a seção [domain_realm], consulte as especificações do MIT Kerberos no website a seguir:

   http://web.mit.edu/kerberos/krb5-1.4/krb5-1.4.1/doc/krb5-admin/domain_realm.html

5. Esta etapa é opcional. Se aplicável ao seu site, insira as linhas de código a seguir na seção [capaths] opcional.

   A seção [capaths] é necessária apenas em ambientes nos quais o domínio pai não possui relações de confiança unilaterais com os domínios filho ou em ambientes nos quais diversas hierarquias de domínio são utilizadas.

   Nestas situações, o protocolo do Kerberos não pode determinar como autenticar um usuário de um domínio para um recurso em outro domínio. Como resultado, as relações necessárias para completar a autenticação necessitam ser mapeadas para que o Kerberos saiba qual caminho seguir para autenticar um usuário. As relações de confiança a seguir se aplicam:

   • O Domínio SUBA.MYDOMAIN.COM confia unilaretalmente em SUBB.MYDOMAIN.COM.
   • O Domínio SUBB.MYDOMAIN.COM confia unilaretalmente em MYDOMAIN.COM.
   • O Domínio SUBA.MYDOMAIN.COM não confia em MYDOMAIN.COM.

   Neste exemplo, o Kerberos pode autenticar diretamente qualquer usuário a partir de SUBA.DOMAIN.COM, para qualquer recurso em SUBB.DOMAIN.COM. Para autenticar um usuário no SUBA.MYDOMAIN.COM com o MYDOMAIN.COM, deve-se autenticá-lo pelo SUBB.MYDOMAIN.COM, já que SUBA.MYDOMAIN.COM não possui uma relação de confiança direta com MYDOMAIN.COM.

   [capaths]
   SUBA.MYDOMAIN.COM {
   SUBB.MYDOMAIN.COM = .
   MYDOMAIN.COM = SUBB.MYDOMAIN.COM
   }
   SUBB.MYDOMAIN.COM {
   SUBA.MYDOMAIN.COM = .
   MYDOMAIN.COM = .
   }
   MYDOMAIN.COM {
   SUBB.MYDOMAIN.COM = .
   SUBA.MYDOMAIN.COM = SUBB.MYDOMAIN.COM
   }

   No primeiro bloco, há informações para a autenticação de um usuário a partir de SUBA.DOMAIN.COM. O Kerberos pode autenticar um usuário diretamente a partir de SUBA.MYDOMAIN.COM em SUBB.MYDOMAIN.COM, como representado por um ponto final (.). Para autenticar um usuário de SUBA.MYDOMAIN.COM no MYDOMAIN.COM, o Kerberos deve passar pelo SUBB.MYDOMAIN.COM. É por isso que o código exibe MYDOMAIN.COM =SUBB.MYDOMAIN.COM.

   No segundo bloco, há informações para a autenticação de um usuário a partir do SUBB.MYDOMAIN.COM. O Kerberos pode autenticar um usuário diretamente de SUBB.MYDOMAIN.COM em SUBA.MYDOMAIN.COM e MYDOMAIN.COM, portanto, um ponto final (.) é incluído nas duas colunas.

   No terceiro bloco, há informações para a autenticação de um usuário a partir do MYDOMAIN.COM. O Kerberos pode autenticar um usuário diretamente a partir de MYDOMAIN.COM para recursos em SUBB.MYDOMAIN.COM, como representado por um ponto final (.). O Kerberos deve autenticar um usuário de SUBA.MYDOMAIN.COM passando primeiramente por SUBB.MYDOMAIN.COM.

   Para obter mais informações sobre a utilização da seção [capaths] com o protocolo Kerberos, consulte o documento a seguir da MIT:

   http://web.mit.edu/kerberos/krb5-1.5/krb5-1.5.4/doc/krb5-admin/capaths.html

Após a conclusão, o seu arquivo krb5.ini terá uma aparência similar à imagem abaixo:

[libdefaults]
   ticket_lifetime = 600
   default_tgt_enctypes = rc4-hmac
   default_tgs_enctypes = rc4-hmac
   default_checksum = rsa-md5
   forwardable = true
   default_realm = MYDOMAIN.COM
[realms]
MYDOMAIN.COM = {
   kdc = dc1.mydomain.com:88
   kdc = dc2.mydomain.com:88
   kdc = dc3.mydomain.com:88
   default_domain = mydomain.com
}
SUBA.MYDOMAIN.COM = {
   kdc = dc1.suba.mydomain.com:88
   kdc = dc2.suba.mydomain.com:88
   default_domain = suba.ibi.com
}
SUBB.MYDOMAIN.COM = {
   kdc = dc1.subb.mydomain.com:88
   kdc = dc2.subb.mydomain.com:88
   default_domain = subb.ibi.com
}
[domain_realm]
   .suba.mydomain.com = SUBA.MYDOMAIN.COM
   .subb.mydomain.com = SUBB.MYDOMAIN.COM
   .mydomain.com = MYDOMAIN.COM
[capaths]
SUBA.MYDOMAIN.COM {
SUBB.MYDOMAIN.COM = .
MYDOMAIN.COM = SUBB.MYDOMAIN.COM
}
SUBB.MYDOMAIN.COM {
SUBA.MYDOMAIN.COM = .
MYDOMAIN.COM = .
}
MYDOMAIN.COM {
SUBB.MYDOMAIN.COM = .
SUBA.MYDOMAIN.COM = SUBB.MYDOMAIN.COM
}

Para que o Kerberos utilize o arquivo krb5.ini no WebFOCUS, deve-se referir ao local do arquivo utilizando a seguinte opção Java™. É possível especificar a opção -Djava.security.krb5.conf no Tomcat, como descrito no procedimento a seguir.

1. Vá para o diretório bin do Tomcat.

   Normalmente, o diretório bin se encontra no local a seguir:

   C:\ibi\tomcat\bin\

2. Clique duas vezes em tomcat7WFw.exe para abrir a caixa de diálogo de configuração do Tomcat.
3. Selecione a guia Java e adicione a entrada a seguir ao final da lista das Opções de Java.

   -Djava.security.krb5.conf=C:\ibi\WebFOCUS81\config\krb5.ini

   Se você escolher outro local para armazenar o seu arquivo krb5.ini, você deve se referir a este local, e não ao local no exemplo anterior.

4. Clique em Aplicar para salvar a definição.
5. Pare o tomcat e reinicie-o para que a definição entre em vigor.