<div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Mon, Nov 5, 2018 at 11:00 PM Grant Taylor via TUHS <<a href="mailto:tuhs@minnie.tuhs.org">tuhs@minnie.tuhs.org</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On 11/05/2018 12:24 AM, Mantas Mikulėnas wrote:<br>
> Let the client handle authentication via Kerberos<br>
<br>
I don't know enough about Kerberos (yet) to know if it would be possible <br>
for a login process to communicate with the KDC and get a TGT as part of <br>
logging in, without already being logged in.<br></blockquote><div><br></div><div>Sure, that's how the process of obtaining a TGT works in the first place. You send an AS-REQ packet with proof of password knowledge, you get an AS-REP with the TGT ticket back.</div><div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
My ignorance is leaving me with a priming problem that seems like a <br>
catch 22.  You can't login without shadow information or TGT.  But <br></blockquote><div><br></div><div>Not sure what part of the 'login' process you're referring to.</div><div><br></div><div> * Credential verification? That's part of obtaining a TGT. You don't need a ticket to obtain the TGT – instead you submit proof that you know the password.</div><div><br></div><div> * Retrieval of directory information (uid, gid, homedir)? The login process either uses its own "machine" credentials to do so, or just retrieves the information anonymously, depending on sysadmin's preference. (Or in the case of AD it's already stapled to the TGT to speed everything up.)</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
traditional (simpler) kinit is run after being logged in.  So ... how do <br>
you detangle that?  The only thing that I can come up with is that the <br>
login process does the kinit functionality on the users behalf.<br></blockquote><div><br></div><div>Yes, that's exactly what happens. However, probably not for all of the same reasons as you imagine.</div></div><div><br></div>-- <br><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr">Mantas Mikulėnas</div></div></div>