docs-security.guide - en to it translation catalogue (191 entries)

note: Tag: para
en: System security and integrity within a network can be unwieldy. It can occupy the time of several administrators just to keep track of what services are being run on a network and the manner in which these services are used.
it: In un sistema di rete, le operazioni necessarie per garantire un livello di sicurezza e di integrità accettabile possono risultare piuttosto impegnative. Anche solo un'analisi per sapere quali servizi siano in esecuzione e in che modo siano utilizzati, può richiedere gli sforzi di alcuni amministratori.

note: Tag: para
en: Further, authenticating users to network services can prove dangerous when the method used by the protocol is inherently insecure, as evidenced by the transfer of unencrypted passwords over a network using the traditional FTP and Telnet protocols.
it: Inoltre, se il protocollo di comunicazione è inerentemente insicuro (come i tradizionali protocolli FTP e Telnet che trasmettono in chiaro informazioni sensibili), il processo di autenticazione degli utenti ai servizi di rete può mettere a rischio l'intera sicurezza.

note: Tag: para
en: Kerberos is a way to eliminate the need for protocols that allow unsafe methods of authentication, thereby enhancing overall network security.
it: Kerberos è un modo per eliminare la dipendenza da protocolli che usano metodi di autenticazione insicuri, contribuendo così ad aumentare la sicurezza globale della rete.

note: Tag: title
en: What is Kerberos?
it: Cos'è Kerberos?

note: Tag: para
en: Kerberos is a network authentication protocol created by MIT, and uses symmetric-key cryptography<footnote> <para> A system where both the client and the server share a common key that is used to encrypt and decrypt network communication. </para> </footnote> to authenticate users to network services, which means passwords are never actually sent over the network.
it: Kerberos è un protocollo di autenticazione di rete creato dal MIT e che utilizza un sistema di crittografia a chiave simmetrica<footnote> <para> Un sistema in cui sia il client sia il server condividono una chiave comune usata per cifrare/decifrare la comunicazione. </para> </footnote>, senza richiedere alcun trasferimento di password.

note: Tag: para
en: Consequently, when users authenticate to network services using Kerberos, unauthorized users attempting to gather passwords by monitoring network traffic are effectively thwarted.
it: In tal modo, quando gli utenti si autenticano ai servizi che usano Kerberos, viene di fatto impedito ogni possibilità di intercettazione delle password da parte di attacker.

note: Tag: title
en: Advantages of Kerberos
it: Vantaggi di Kerberos

note: Tag: para
en: Most conventional network services use password-based authentication schemes. Such schemes require a user to authenticate to a given network server by supplying their username and password. Unfortunately, the transmission of authentication information for many services is unencrypted. For such a scheme to be secure, the network has to be inaccessible to outsiders, and all computers and users on the network must be trusted and trustworthy.
it: I principali servizi di rete usano schemi di autenticazione basati su password, in cui genralmente all'utente viene richiesto di farsi riconoscere con un nome utente e una password. Sfortunatamente, la trasmissione di queste informazioni di autenticazione, per molti servizi avviene in chiaro. Quindi perchè un tale schema sia sicuro, occorre che la rete sia inaccessibile dall'esterno e che tutti gli utenti ed i computer interni siano fidati.

note: Tag: para
en: Even if this is the case, a network that is connected to the Internet can no longer be assumed to be secure. Any attacker who gains access to the network can use a simple packet analyzer, also known as a packet sniffer, to intercept usernames and passwords, compromising user accounts and the integrity of the entire security infrastructure.
it: Ma anche nel caso di una rete interna fidata, nel momento in cui viene connessa ad Internet essa non può più considerarsi sicura: un attacker che riesca ad accedere alla rete, potrebbe usare un semplice analizzatore di pacchetti o packet sniffer, per intercettare nome utente e password, compromettendo gli account utenti e l'integrità della intera rete.

note: Tag: para
en: The primary design goal of Kerberos is to eliminate the transmission of unencrypted passwords across the network. If used properly, Kerberos effectively eliminates the threat that packet sniffers would otherwise pose on a network.
it: Il principale obbiettivo progettuale di Kerberos è eliminare la trasmissione in chiaro di password; quindi se correttamente configurato, Kerberos effettivamente elimina la minaccia dei packet sniffer.

note: Tag: title
en: Disadvantages of Kerberos
it: Svantaggi di Kerberos

note: Tag: para
en: Although Kerberos removes a common and severe security threat, it may be difficult to implement for a variety of reasons:
it: Anche se Kerberos aiuta a rimuovere minacce comnuni e severe alla sicurezza, la sua implementazione, per una varietà di ragioni, può risultare complessa:

note: Tag: para
en: Migrating user passwords from a standard UNIX password database, such as <filename>/etc/passwd</filename> or <filename>/etc/shadow</filename>, to a Kerberos password database can be tedious, as there is no automated mechanism to perform this task. Refer to Question 2.23 in the online Kerberos FAQ:
it: Migrare le password utenti da un database di password UNIX (standard), come <filename>/etc/passwd</filename> o <filename>/etc/shadow</filename> in un database di password Kerberos, può essere un'operazione tediosa, perchè al momento non esiste un meccanismo automatizzato. Fare riferimento alla Question 2.23 della Kerberos FAQ, al seguente link:

note: Tag: para
en: <ulink url="http://www.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html#pwconvert"> http://www.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html</ulink>
it: <ulink url="http://www.cmf.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html"> http://www.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html</ulink>

note: Tag: para
en: Kerberos has only partial compatibility with the Pluggable Authentication Modules (PAM) system used by most Fedora servers. Refer to <xref linkend="sect-Security_Guide-Kerberos-Kerberos_and_PAM" /> for more information about this issue.
it: Kerberos presenta solo una parziale compatibilità con il sistema PAM (Pluggable Authentication Modules), usato nei principali server Fedora. Per maggiori informazioni, vedere la <xref linkend="sect-Security_Guide-Kerberos-Kerberos_and_PAM" />.

note: Tag: para
en: Kerberos assumes that each user is trusted but is using an untrusted host on an untrusted network. Its primary goal is to prevent unencrypted passwords from being transmitted across that network. However, if anyone other than the proper user has access to the one host that issues tickets used for authentication &mdash; called the <firstterm>key distribution center</firstterm> (<firstterm>KDC</firstterm>) &mdash; the entire Kerberos authentication system is at risk.
it: Kerberos assume che ogni utente sia fidato, in un ambiente in cui generalmente l'utente e la rete non lo sono. Il suo obbiettivo principale è impedire il trasferimento in chiaro di password. Se un utente qualunque non autorizzato, riesce ad accedere ad uno degli host che distribuisce ticket, usati per l'autenticazione &mdash; denominato <firstterm>KDC</firstterm> (<firstterm>Key Distribution Center</firstterm>) &mdash; l'intero sistema di autenticazione Kerberos viene messo a rischio.

note: Tag: para
en: For an application to use Kerberos, its source must be modified to make the appropriate calls into the Kerberos libraries. Applications modified in this way are considered to be <firstterm>Kerberos-aware</firstterm>, or <firstterm>kerberized</firstterm>. For some applications, this can be quite problematic due to the size of the application or its design. For other incompatible applications, changes must be made to the way in which the server and client communicate. Again, this may require extensive programming. Closed-source applications that do not have Kerberos support by default are often the most problematic.
it: Se si vuole che un'applicazione usi Kerberos, il codice dell'applicazione deve essere opportunamente modificato in modo da poter chiamare le librerie di Kerberos. Le applicazioni così adattate sono dette <firstterm>Kerberos-aware</firstterm> o <firstterm>kerberizzate</firstterm>. Per alcune applicazioni, ciò può essere problematico per motivi progettuali e dimensionali. Per altre applicazioni incompatibili, le modifiche devono essere fatte tenendo conto delle modalità di comunicazione tra server e client. Di nuovo, ciò potrebbe richiedere notevoli modifiche al codice originario. Le applicazioni closed-source che non supportano Kerberos per impostazione, sono spesso quelle più problematiche.

note: Tag: para
en: Kerberos is an all-or-nothing solution. If Kerberos is used on the network, any unencrypted passwords transferred to a non-Kerberos aware service is at risk. Thus, the network gains no benefit from the use of Kerberos. To secure a network with Kerberos, one must either use Kerberos-aware versions of <emphasis>all</emphasis> client/server applications that transmit passwords unencrypted, or not use <emphasis>any</emphasis> such client/server applications at all.
it: Kerberos è una soluzione determinante/decisiva. Se usato in una rete, ogni password trasferita in chiaro ad un servizio non <firstterm>kerberizzato</firstterm>, diventa un rischio per la sicurezza. In tal caso, la rete non trae alcun vantaggio dall'uso di Kerberos. Quindi per rendere sicura una rete con Kerberos, <emphasis>tutte</emphasis> le applicazioni client/server che trasmettono password in chiaro, devono essere <firstterm>kerberizzate</firstterm>.

note: Tag: title
en: Kerberos Terminology
it: Terminologia Kerberos

note: Tag: para
en: Kerberos has its own terminology to define various aspects of the service. Before learning how Kerberos works, it is important to learn the following terms.
it: Kerberos ha la propria terminologia per specificare i vari aspetti del servizio. Per capire il funzionamento di Kerberos, è importante conoscere il significato dei seguenti termini.

note: Tag: term
en: authentication server (AS)
it: Authentication Server (AS)

note: Tag: para
en: A server that issues tickets for a desired service which are in turn given to users for access to the service. The AS responds to requests from clients who do not have or do not send credentials with a request. It is usually used to gain access to the ticket-granting server (TGS) service by issuing a ticket-granting ticket (TGT). The AS usually runs on the same host as the key distribution center (KDC).
it: Un server di distribuzione di ticket che viene rilasciato al client, per accedere ad un determinato servizio. Un AS risponde alle richieste dei client che non hanno o non hanno trasmesso le credenziali con una richiesta. Di solito è usato per accedere al server TGS (Ticket Granting Server), rilasciando un ticket TGT (Ticket Granting Ticket). Un server AS generalmente si trova sullo stesso host del KDC (Key Distribution Center).

note: Tag: term
en: ciphertext
it: testo cifrato

note: Tag: para
en: Encrypted data.
it: Dati crittati o non in chiaro

note: Tag: para
en: An entity on the network (a user, a host, or an application) that can receive a ticket from Kerberos.
it: Una entità sulla rete (un utente, un host o una applicazione), che può ottenere un ticket da Kerberos.

note: Tag: term
en: credentials
it: credenziali

note: Tag: para
en: A temporary set of electronic credentials that verify the identity of a client for a particular service. Also called a ticket.
it: Un insieme di credenziali temporanee, che verificano l'identità di un client per un particolare servizio. Viene anche detto <emphasis>ticket</emphasis>.

note: Tag: term
en: credential cache or ticket file
it: credential cache o file dei ticket

note: Tag: para
en: A file which contains the keys for encrypting communications between a user and various network services. Kerberos 5 supports a framework for using other cache types, such as shared memory, but files are more thoroughly supported.
it: Un file contenente le chiavi per cifrare le comunicazioni tra l'utente ed i vari servizi. Kerberos 5 supporta una piattaforma per altri tipi di memorizzazione, come la memoria condivisa, ma i file sono maggiormente supportati.

note: Tag: term
en: crypt hash
it: funzione hash di cifratura

note: Tag: para
en: A one-way hash used to authenticate users. These are more secure than using unencrypted data, but they are still relatively easy to decrypt for an experienced cracker.
it: Una funzione hash usata per trasformare dati. I dati così manipolati, sono più sicuri rispetto ai dati originali, ma restano abbastanza semplici da decifrare da parte di un cracker esperto.

note: Tag: para
en: The Generic Security Service Application Program Interface (defined in RFC-2743 published by The Internet Engineering Task Force) is a set of functions which provide security services. This API is used by clients and services to authenticate to each other without either program having specific knowledge of the underlying mechanism. If a network service (such as cyrus-IMAP) uses GSS-API, it can authenticate using Kerberos.
it: La GSS-API o Generic Security Service Application Program Interface (pubblicata da The Internet Engineering Task Force in RFC-2743), è un insieme di funzioni che offrono servizi di sicurezza. Questa API, mascherando il meccanismo sottostante, è usata da client e servizi per autenticazione reciproca. Se un servizio come cyrus-IMAP, usa GSS-API, allora esso può autenticarsi via Kerberos.

note: Tag: para
en: Also known as a <firstterm>hash value</firstterm>. A value generated by passing a string through a <firstterm>hash function</firstterm>. These values are typically used to ensure that transmitted data has not been tampered with.
it: Anche detto <firstterm>valore hash</firstterm>. E' un valore ottenuto passando una stringa ad una <firstterm>funzione hash</firstterm>. Questi valori sono tipicamente usati per essere sicuri che i dati trasmessi non siano stati manomessi.

note: Tag: term
en: hash function
it: funzione hash

note: Tag: para
en: A way of generating a digital "fingerprint" from input data. These functions rearrange, transpose or otherwise alter data to produce a <firstterm>hash value</firstterm>.
it: Un modo per generare un "fingerprint" o firma su dei dati d'ingresso. Queste funzioni eseguono delle trasformazioni o alterazioni sui dati, producendo un <firstterm>valore hash</firstterm>.

note: Tag: term
en: key
it: chiave

note: Tag: para
en: Data used when encrypting or decrypting other data. Encrypted data cannot be decrypted without the proper key or extremely good fortune on the part of the cracker.
it: I dati usati per cifrare o decifrare altri dati. I dati cifrati non possono essere decifrati senza la chiave appropriata o senza una straordinaria fortuna da parte del cracker.

note: Tag: term
en: key distribution center (KDC)
it: Key Distribution Center (KDC)

note: Tag: para
en: A service that issues Kerberos tickets, and which usually run on the same host as the ticket-granting server (TGS).
it: Un servizio che invia ticket Kerberos e generalmente esegue sullo stesso host del TGS (Ticket Granting Server).

note: Tag: term
en: keytab (or key table)
it: keytab (o tabella delle chiavi)

note: Tag: para
en: A file that includes an unencrypted list of principals and their keys. Servers retrieve the keys they need from keytab files instead of using <command>kinit</command>. The default keytab file is <filename>/etc/krb5.keytab</filename>. The KDC administration server, <command>/usr/kerberos/sbin/kadmind</command>, is the only service that uses any other file (it uses <filename>/var/kerberos/krb5kdc/kadm5.keytab</filename>).
it: Un file contenente una lista in chiaro di <firstterm>principal</firstterm> e delle loro chiavi. Un server ottiene le chiavi necessarie dal file keytab invece di usare <command>kinit</command>. Il file keytab predefinto è <filename>/etc/krb5.keytab</filename>. Il server d'amministrazione KDC, <command>/usr/kerberos/sbin/kadmind</command>, è l'unico servizio che usa un altro file (esso usa <filename>/var/kerberos/krb5kdc/kadm5.keytab</filename>).

note: Tag: para
en: The <command>kinit</command> command allows a principal who has already logged in to obtain and cache the initial ticket-granting ticket (TGT). Refer to the <command>kinit</command> man page for more information.
it: Il comando <command>kinit</command> consente ad un principal già loggato di ottenere e memorizzare il TGT (Ticket Granting Ticket) iniziale. Per maggiori informazioni su <command>kinit</command>, consultare le pagine di man relative.

note: Tag: term
en: principal (or principal name)
it: principal (o nome del principal)

note: Tag: para
en: The principal is the unique name of a user or service allowed to authenticate using Kerberos. A principal follows the form <computeroutput>root[/instance]@REALM</computeroutput>. For a typical user, the root is the same as their login ID. The <computeroutput>instance</computeroutput> is optional. If the principal has an instance, it is separated from the root with a forward slash ("/"). An empty string ("") is considered a valid instance (which differs from the default <computeroutput>NULL</computeroutput> instance), but using it can be confusing. All principals in a realm have their own key, which for users is derived from a password or is randomly set for services.
it: Il principal è il nome unico di un utente o servizio, abilitato ad autenticarsi presso Kerberos. Un principal segue la forma di <computeroutput>root[/instance]@REALM</computeroutput>. Per un utente tipico, <computeroutput>root</computeroutput> coincide con l'ID associato all'account utente. Il termine <computeroutput>instance</computeroutput> è opzionale. Se il principal ha un <computeroutput>instance</computeroutput>, esso viene separato dal <computeroutput>root</computeroutput>, usando un carattere "forward slash" ("/"). Una stringa vuota ("") è considerata un <computeroutput>instance</computeroutput> valido (differente dall'instance predefinito, <computeroutput>NULL</computeroutput>), tuttavia il suo utilizzo può essere fonte di confusione. Tutti i principal di un realm hanno la propria chiave, derivata da una password se si tratta di utenti o impostata casualmente se si tratta di servizi.

note: Tag: para
en: A network that uses Kerberos, composed of one or more servers called KDCs and a potentially large number of clients.
it: Una rete che usa Kerberos, composta da uno o più server KDC e un numero potenzialmente grande di client.

note: Tag: term
en: service
it: servizio

note: Tag: para
en: A program accessed over the network.
it: Un programma accessibile dalla rete.

note: Tag: para
en: A temporary set of electronic credentials that verify the identity of a client for a particular service. Also called credentials.
it: Un insieme di credenziali temporanee che verificano l'identità di un client per un particolare servizio. Viene anche detto credenziali.

note: Tag: term
en: ticket-granting server (TGS)
it: Ticket Granting Server (TGS)

note: Tag: para
en: A server that issues tickets for a desired service which are in turn given to users for access to the service. The TGS usually runs on the same host as the KDC.
it: Un server che distribuisce ticket per un servizio, girati agli utenti per accedere al servizio. Generalmente un TGS esegue sullo stesso host che ospita il KDC.

note: Tag: term
en: ticket-granting ticket (TGT)
it: Ticket Granting Ticket (TGT)

note: Tag: para
en: A special ticket that allows the client to obtain additional tickets without applying for them from the KDC.
it: Un ticket speciale che consente al client di ottenere ulteriori ticket senza dover inoltrare le richieste al KDC.

note: Tag: term
en: unencrypted password
it: password non cifrata

note: Tag: para
en: A plain text, human-readable password.
it: Una password in chiaro o leggibile.

note: Tag: title
en: How Kerberos Works
it: Come funziona Kerberos

note: Tag: para
en: Kerberos differs from username/password authentication methods. Instead of authenticating each user to each network service, Kerberos uses symmetric encryption and a trusted third party (a KDC), to authenticate users to a suite of network services. When a user authenticates to the KDC, the KDC sends a ticket specific to that session back to the user's machine, and any Kerberos-aware services look for the ticket on the user's machine rather than requiring the user to authenticate using a password.
it: Kerberos differisce dai tradizionali metodi di autenticazione basati su nome-utente/password. Infatti, invece di autenticare l'utente per ogni servizio, Kerberos usa un sistema di crittografia simmetrica e un terzo fidato (un KDC) per autenticare gli utenti ai vari servizi di rete. Quando un utente si autentica presso il KDC, il KDC restituisce, alla macchina dell'utente, un ticket specifico valido per la sessione ed ogni servizio kerberizzato cerca il ticket sulla macchina del client, invece di richiedere all'utente di autenticarsi con una password.

note: Tag: para
en: When a user on a Kerberos-aware network logs in to their workstation, their principal is sent to the KDC as part of a request for a TGT from the Authentication Server. This request can be sent by the log-in program so that it is transparent to the user, or can be sent by the <command>kinit</command> program after the user logs in.
it: Quando l'utente avvia una sessione su una workstation in una rete controllata da Kerberos, il suo principal viene trasmesso al KDC per una richiesta di TGT, da parte dell'Authentication Server. Questa richiesta può venir  trasmessa dal programma di log-in o venir trasmessa dal programma <command>kinit</command>, ad accesso avvenuto.

note: Tag: para
en: The KDC then checks for the principal in its database. If the principal is found, the KDC creates a TGT, which is encrypted using the user's key and returned to that user.
it: A questo punto il KDC controlla il principal nel proprio database. Se il principal esiste, il KDC crea un TGT, che viene cifrato con la chiave dell'utente e restituito all'utente.

note: Tag: para
en: The login or <command>kinit</command> program on the client then decrypts the TGT using the user's key, which it computes from the user's password. The user's key is used only on the client machine and is <emphasis>not</emphasis> transmitted over the network.
it: Poi il programma di log-in o <command>kinit</command>, decifra il TGT usando la chiave dell'utente, ottenuta dalla password dell'utente. Quindi la chiave dell'utente è usata soltanto sulla macchina del client e <emphasis>non</emphasis> viene trasmessa nella rete.

note: Tag: para
en: The TGT is set to expire after a certain period of time (usually ten to twenty-four hours) and is stored in the client machine's credentials cache. An expiration time is set so that a compromised TGT is of use to an attacker for only a short period of time. After the TGT has been issued, the user does not have to re-enter their password until the TGT expires or until they log out and log in again.
it: Sul TGT viene imposta una scadenza (usualmente tra dieci e ventiquattro ore), dopodichè viene conservato nella credential cache della macchina del client. La scadenza serve a limitare il periodo a disposizione di un eventuale attacker, che sia entrato in possesso di un TGT compromesso. Una volta ottenuto il TGT, l'utente non deve re-inserire la propria password fino alla scadenza del TGT, a meno che non esca e rientri in una nuova sessione.

note: Tag: para
en: Whenever the user needs access to a network service, the client software uses the TGT to request a new ticket for that specific service from the TGS. The service ticket is then used to authenticate the user to that service transparently.
it: Ogni volta che l'utente accede ad un servizio, il client usa il TGT per richiedere al TGS un nuovo ticket per quel determinato servizio. Il ticket è poi usato per autenticare l'utente al servizio.

note: Tag: title
en: Warning
it: Avviso

note: Tag: para
en: The Kerberos system can be compromised if a user on the network authenticates against a non-Kerberos aware service by transmitting a password in plain text. The use of non-Kerberos aware services is highly discouraged. Such services include Telnet and FTP. The use of other encrypted protocols, such as SSH or SSL-secured services, however, is preferred, although not ideal.
it: Il sistema Kerberos può essere compromesso se un utente si autentica presso un servizio non kerberizzato, trasmettendo una password in chiaro. L'utilizzo di un servizio non kerberizzato è fortemente scoraggiato. Tali servizi includono Telent ed FTP. L'utilizzo di altri protocolli cifrati, come i servizi sicuri SSH o SSL, comunque sono da preferirsi, sebbene non ideali.

note: Tag: para
en: This is only a broad overview of how Kerberos authentication works. Refer to <xref linkend="sect-Security_Guide-Kerberos-Additional_Resources" /> for links to more in-depth information.
it: Quanto finora esposto, è soltanto una breve panoramica su come funziona l'autenticazione di Kerberos. Per maggiori informazioni fare riferimento ai link nella <xref linkend="sect-Security_Guide-Kerberos-Additional_Resources" />.

note: Tag: title
en: Note
it: Nota

note: Tag: para
en: Kerberos depends on the following network services to function correctly.
it: Per poter funzionare correttamente, Kerberos necessita dei seguenti servizi di rete:

note: Tag: para
en: Approximate clock synchronization between the machines on the network.
it: Sincronizzazione approssimata del clock tra le macchine di rete.

note: Tag: para
en: A clock synchronization program should be set up for the network, such as <command>ntpd</command>. Refer to <filename>/usr/share/doc/ntp-<replaceable>&lt;version-number&gt;</replaceable>/index.html</filename> for details on setting up Network Time Protocol servers (where <replaceable>&lt;version-number&gt;</replaceable> is the version number of the <filename>ntp</filename> package installed on your system).
it: Nella rete dovrebbe essere configurato un programma di sincronizzazione del clock, come <command>ntpd</command>. Per maggiori dettagli su come configurare un server Network Time Protocol, fare riferimento al file <filename>/usr/share/doc/ntp-<replaceable>&lt;version-number&gt;</replaceable>/index.html</filename>, dove <replaceable>&lt;version-number&gt;</replaceable> è la versione del pacchetto <filename>ntp</filename> installato.

note: Tag: para
en: Domain Name Service (DNS).
it: DNS (Domain Name Service)

note: Tag: para
en: You should ensure that the DNS entries and hosts on the network are all properly configured. Refer to the <citetitle>Kerberos V5 System Administrator's Guide</citetitle> in <filename>/usr/share/doc/krb5-server-<replaceable>&lt;version-number&gt;</replaceable></filename> for more information (where <replaceable>&lt;version-number&gt;</replaceable> is the version number of the <filename>krb5-server</filename> package installed on your system).
it: Assicurarsi che il DNS e gli host sulla rete siano correttamente configurati. Per maggiori informazioni, consultare <citetitle>Kerberos V5 System Administrator's Guide</citetitle> nella cartella <filename>/usr/share/doc/krb5-server-<replaceable>&lt;version-number&gt;</replaceable></filename>, dove <replaceable>&lt;version-number&gt;</replaceable> è la versione del pacchetto <filename>krb5-server</filename> installato.

note: Tag: title
en: Kerberos and PAM
it: Kerberos e PAM

note: Tag: para
en: Kerberos-aware services do not currently make use of Pluggable Authentication Modules (PAM) &mdash; these services bypass PAM completely. However, applications that use PAM can make use of Kerberos for authentication if the <filename>pam_krb5</filename> module (provided in the <filename>pam_krb5</filename> package) is installed. The <filename>pam_krb5</filename> package contains sample configuration files that allow services such as <command>login</command> and <command>gdm</command> to authenticate users as well as obtain initial credentials using their passwords. If access to network servers is always performed using Kerberos-aware services or services that use GSS-API, such as IMAP, the network can be considered reasonably safe.
it: I servizi kerberizzati, in realtà, non fanno uso di PAM (Pluggable Authentication Modules) &mdash; questi servizi by-passano del tutto PAM. Comunque, installando il modulo <filename>pam_krb5</filename> (fornito con il pacchetto <filename>pam_krb5</filename>), le applicazioni che usano PAM possono far uso di Kerberos per l'autenticazione. Il pacchetto <filename>pam_krb5</filename> contiene alcuni file campione da cui è possibile configurare servizi come <command>login</command> e <command>gdm</command>, per autenticare gli utenti e per ottenere le credenziali iniziali da password. Se l'accesso ai server di rete avviene sempre tramite servizi kerberizzati o servizi che usano GSS-API, come IMAP, allora la rete può considerarsi ragionevolmente sicura.

note: Tag: title
en: Important
it: Importante

note: Tag: para
en: Administrators should be careful not to allow users to authenticate to most network services using Kerberos passwords. Many protocols used by these services do not encrypt the password before sending it over the network, destroying the benefits of the Kerberos system. For example, users should not be allowed to authenticate to Telnet services with the same password they use for Kerberos authentication.
it: Gli amministratori dovrebbero vietare agli utenti di usare le password di Kerberos, per autenticarsi ai servizi di rete. Molti protocolli usati da questi servizi, non cifrano le password, vanificando i benefici del sistema Kerberos. Per esempio, non si dovrebbe consentire di accedere ai servizi Telnet, con la stessa password usata per autenticarsi presso Kerberos.

note: Tag: title
en: Configuring a Kerberos 5 Server
it: Configurare un server Kerberos 5

note: Tag: para
en: When setting up Kerberos, install the KDC first. If it is necessary to set up slave servers, install the master first.
it: Quando si imposta Kerberos, installare dapprima il KDC. Se occorre impostare alcuni server slave, installare prima il master.

note: Tag: para
en: To configure the first Kerberos KDC, follow these steps:
it: Per configurare il primo KDC Kerberos, seguire i seguenti passaggi:

note: Tag: para
en: Ensure that time synchronization and DNS are functioning correctly on all client and server machines before configuring Kerberos. Pay particular attention to time synchronization between the Kerberos server and its clients. If the time difference between the server and client is greater than five minutes (this is configurable in Kerberos 5), Kerberos clients can not authenticate to the server. This time synchronization is necessary to prevent an attacker from using an old Kerberos ticket to masquerade as a valid user.
it: Prima di configurare Kerberos, assicurarsi che il servizio di sincronizzazione del clock e il DNS, funzionino correttamente su tutti i client e server. Prestare particolare attenzione alla sincronizzazione dell'ora tra il server Kerberos e i suoi client. Se il server ed i client sono sfasati per più di cinque minuti, i client non possono autenticarsi presso il server. Questa sincronizzazione è necessaria in quanto impedisce ad un attacker, che utilizzi un vecchio ticket, di mascherarsi come un utente fidato.

note: Tag: para
en: It is advisable to set up a Network Time Protocol (NTP) compatible client/server network even if Kerberos is not being used. Fedora includes the <filename>ntp</filename> package for this purpose. Refer to <filename>/usr/share/doc/ntp-<replaceable>&lt;version-number&gt;</replaceable>/index.html</filename> (where <replaceable>&lt;version-number&gt;</replaceable> is the version number of the <filename>ntp</filename> package installed on your system) for details about how to set up Network Time Protocol servers, and <ulink url="http://www.ntp.org">http://www.ntp.org</ulink> for more information about NTP.
it: Si consiglia di impostare un NTP (Network Time Protocol) anche se non si usa Kerberos. In Fedora è incluso nel pacchetto <filename>ntp</filename>. Per i dettagli su come impostare un server Network Time Protocol, fare riferimento al file <filename>/usr/share/doc/ntp-<replaceable>&lt;version-number&gt;</replaceable>/index.html</filename>, dove <replaceable>&lt;version-number&gt;</replaceable> è la versione del pacchetto <filename>ntp</filename> installato nel proprio sistema, o visitare il sito del progetto <ulink url="http://www.ntp.org">http://www.ntp.org</ulink>.

note: Tag: para
en: Install the <filename>krb5-libs</filename>, <filename>krb5-server</filename>, and <filename>krb5-workstation</filename> packages on the dedicated machine which runs the KDC. This machine needs to be very secure &mdash; if possible, it should not run any services other than the KDC.
it: Installare i pacchetti <filename>krb5-libs</filename>, <filename>krb5-server</filename> e <filename>krb5-workstation</filename>, sulla macchina che ospiterà il KDC. Questa macchina deve risultare molto sicura &mdash; se possibile, si dovrebbe eseguire esclusivamente il servizio KDC.

note: Tag: para
en: Edit the <filename>/etc/krb5.conf</filename> and <filename>/var/kerberos/krb5kdc/kdc.conf</filename> configuration files to reflect the realm name and domain-to-realm mappings. A simple realm can be constructed by replacing instances of <replaceable>EXAMPLE.COM</replaceable> and <replaceable>example.com</replaceable> with the correct domain name &mdash; being certain to keep uppercase and lowercase names in the correct format &mdash; and by changing the KDC from <replaceable>kerberos.example.com</replaceable> to the name of the Kerberos server. By convention, all realm names are uppercase and all DNS hostnames and domain names are lowercase. For full details about the formats of these configuration files, refer to their respective man pages.
it: Modificare il nome del realm e le associazioni tra domini e realm, nei file di configurazione <filename>/etc/krb5.conf</filename> e <filename>/var/kerberos/krb5kdc/kdc.conf</filename>. Per creare un semplice realm, sostituire le istanze di <replaceable>EXAMPLE.COM</replaceable> e <replaceable>example.com</replaceable> con il nome corretto del dominio &mdash; tenendo conto che il nome è "case sensitive" &mdash; e sostituire <replaceable>kerberos.example.com</replaceable> con il nome del server KDC. Per convenzione, tutti i realm sono espressi con lettere maiuscole e tutti gli hostname e i domini in lettere minuscole. Per maggiori dettagli sui formati di questi file di configurazione, fare riferimento alle rispettive pagine di man.

note: Tag: para
en: Create the database using the <command>kdb5_util</command> utility from a shell prompt:
it: Creare il database usando l'utility da terminale, <command>kdb5_util</command>:

note: Tag: para
en: The <command>create</command> command creates the database that stores keys for the Kerberos realm. The <command>-s</command> switch forces creation of a <firstterm>stash</firstterm> file in which the master server key is stored. If no stash file is present from which to read the key, the Kerberos server (<command>krb5kdc</command>) prompts the user for the master server password (which can be used to regenerate the key) every time it starts.
it: Il comando <command>create</command>, genera il database con le chiavi per il realm Kerberos. Lo switch <command>-s</command>, invece, crea un file <firstterm>stash</firstterm> in cui è salvata la chiave del server master. Se il file <firstterm>stash</firstterm> non viene creato, il server Kerberos (<command>krb5kdc</command>) richiede all'utente di inserire la password per il server master (usata per rigenerare la chiave), ad ogni suo avvio.

note: Tag: para
en: Edit the <filename>/var/kerberos/krb5kdc/kadm5.acl</filename> file. This file is used by <command>kadmind</command> to determine which principals have administrative access to the Kerberos database and their level of access. Most organizations can get by with a single line:
it: Modificare il file <filename>/var/kerberos/krb5kdc/kadm5.acl</filename>. Questo file, usato dal comando <command>kadmind</command>, determina i principal che hanno accesso amministrativo, con i relativi livelli, al database di Kerberos. Generalmente basta una semplice riga:

note: Tag: para
en: Most users are represented in the database by a single principal (with a <emphasis>NULL</emphasis>, or empty, instance, such as <emphasis>joe@EXAMPLE.COM</emphasis>). In this configuration, users with a second principal with an instance of <emphasis>admin</emphasis> (for example, <emphasis>joe/admin@EXAMPLE.COM</emphasis>) are able to wield full power over the realm's Kerberos database.
it: Gli utenti, generalmente, sono rappresentati nel database da un unico principal (con instanza <emphasis>NULL</emphasis>, o vuota come <emphasis>joe@EXAMPLE.COM</emphasis>). Con questa configurazione, gli utenti con un secondo principal con instanza <emphasis>admin</emphasis> (per esempio, <emphasis>joe/admin@EXAMPLE.COM</emphasis>) possono avere pieno controllo sul database Kerberos del realm.

note: Tag: para
en: After <command>kadmind</command> has been started on the server, any user can access its services by running <command>kadmin</command> on any of the clients or servers in the realm. However, only users listed in the <filename>kadm5.acl</filename> file can modify the database in any way, except for changing their own passwords.
it: Dopo aver avviato il server, con il comando <command>kadmind</command>, ogni utente può accedere ai suoi servizi eseguendo il comando <command>kadmin</command> su un client o su un server del realm. Comunque, solo gli utenti elencati nel file <filename>kadm5.acl</filename>, possono modificare il contenuto del database, ad eccezione delle password.

note: Tag: para
en: The <command>kadmin</command> utility communicates with the <command>kadmind</command> server over the network, and uses Kerberos to handle authentication. Consequently, the first principal must already exist before connecting to the server over the network to administer it. Create the first principal with the <command>kadmin.local</command> command, which is specifically designed to be used on the same host as the KDC and does not use Kerberos for authentication.
it: L'utility <command>kadmin</command> comunica con il server <command>kadmind</command>, ed usa Kerberos per l'autenticazione. Poichè, occorre il primo principal per effettuare una connessione con il server da amministrare, creare il principal con il comando <command>kadmin.local</command>, specificatamente progettato per essere impiegato sullo stesso host del KDC e che non usa Kerberos per autenticazione.

note: Tag: para
en: Type the following <command>kadmin.local</command> command at the KDC terminal to create the first principal:
it: Per creare il primo principal, nel KDC, digitare il comando <command>kadmin.local</command>:

note: Tag: para
en: Start Kerberos using the following commands:
it: Avviare Kerberos usando i seguenti comandi:

note: Tag: para
en: Add principals for the users using the <command>addprinc</command> command within <command>kadmin</command>. <command>kadmin</command> and <command>kadmin.local</command> are command line interfaces to the KDC. As such, many commands &mdash; such as <command>addprinc</command> &mdash; are available after launching the <command>kadmin</command> program. Refer to the <command>kadmin</command> man page for more information.
it: Aggiungere i principal degli utenti, usando il comando <command>addprinc</command> (dall'interfaccia di <command>kadmin</command>). I comandi <command>kadmin</command> e  <command>kadmin.local</command>, sono comandi da terminale che si interfaccano con il KDC. Una volta avviato il programma <command>kadmin</command>, sono disponibili molti altri comandi simili ad <command>addprinc</command>. Per maggiori informazioni su <command>kadmin</command>, fare riferimento alla relative pagine di man.

note: Tag: para
en: Verify that the KDC is issuing tickets. First, run <command>kinit</command> to obtain a ticket and store it in a credential cache file. Next, use <command>klist</command> to view the list of credentials in the cache and use <command>kdestroy</command> to destroy the cache and the credentials it contains.
it: Verificare che il KDC emetta ticket. Per prima cosa, lanciare <command>kinit</command> per ottenere un ticket e conservarlo in un credential cache. Poi, usare il comando <command>klist</command> per visualizzare la lista delle credenziali in cache, e <command>kdestroy</command> per rimuovere la lista e la credential cache.

note: Tag: para
en: By default, <command>kinit</command> attempts to authenticate using the same system login username (not the Kerberos server). If that username does not correspond to a principal in the Kerberos database, <command>kinit</command> issues an error message. If that happens, supply <command>kinit</command> with the name of the correct principal as an argument on the command line (<command>kinit <replaceable>&lt;principal&gt;</replaceable></command>).
it: Per impostazione, <command>kinit</command> tenta l'autenticazione usando lo stesso nome-utente dell'account di sistema (non del server Kerberos). Se il nome-utente non corrisponde ad un principal del database di Kerberos, <command>kinit</command> segnala un messaggio d'errore. Per ovviare a questo problema, aggiungere a <command>kinit</command> come argomento, il nome esatto del principal (<command>kinit <replaceable>&lt;principal&gt;</replaceable></command>).

note: Tag: para
en: Once these steps are completed, the Kerberos server should be up and running.
it: Una volta completati questi passaggi, il server Kerberos dovrebbe essere attivo e funzionante.

note: Tag: title
en: Configuring a Kerberos 5 Client
it: Configurare un client Kerberos 5

note: Tag: para
en: Setting up a Kerberos 5 client is less involved than setting up a server. At a minimum, install the client packages and provide each client with a valid <filename>krb5.conf</filename> configuration file. While <command>ssh</command> and <command>slogin</command> are the preferred method of remotely logging in to client systems, Kerberized versions of <command>rsh</command> and <command>rlogin</command> are still available, though deploying them requires that a few more configuration changes be made.
it: Impostare un client Kerberos 5 è meno complicato rispetto all'impostazione di un server. Come minimo, installare i pacchetti del client e fornire ogni client di un file di configurazione <filename>krb5.conf</filename>, valido. Sebbene <command>ssh</command> e <command>slogin</command> siano i metodi migliori per accedere da remoto ai client, nel caso esistessere ancora versioni kerberizzate di <command>rsh</command> ed <command>rlogin</command>, il loro utilizzo richiederebbe di apportare ulteriori modifiche ai file di configurazione.

note: Tag: para
en: Be sure that time synchronization is in place between the Kerberos client and the KDC. Refer to <xref linkend="sect-Security_Guide-Kerberos-Configuring_a_Kerberos_5_Server" /> for more information. In addition, verify that DNS is working properly on the Kerberos client before configuring the Kerberos client programs.
it: Assicurarsi che il servizio di sincronizzazione del clock, tra il client Kerberos ed il KDC, funzioni correttamente. (Vedere la <xref linkend="sect-Security_Guide-Kerberos-Configuring_a_Kerberos_5_Server" />.) Inoltre prima di ogni configurazione, verificare che funzioni il DNS sul client Kerberos.

note: Tag: para
en: Install the <filename>krb5-libs</filename> and <filename>krb5-workstation</filename> packages on all of the client machines. Supply a valid <filename>/etc/krb5.conf</filename> file for each client (usually this can be the same <filename>krb5.conf</filename> file used by the KDC).
it: Installare i pacchetti <filename>krb5-libs</filename> e <filename>krb5-workstation</filename> su tutte le macchine client. Fornire ogni macchina di un valido file <filename>/etc/krb5.conf</filename> (normalmente si può usare lo stesso file <filename>krb5.conf</filename> del KDC).

note: Tag: para
en: Before a workstation in the realm can use Kerberos to authenticate users who connect using <command>ssh</command> or Kerberized <command>rsh</command> or <command>rlogin</command>, it must have its own host principal in the Kerberos database. The <command>sshd</command>, <command>kshd</command>, and <command>klogind</command> server programs all need access to the keys for the <emphasis>host</emphasis> service's principal. Additionally, in order to use the kerberized <command>rsh</command> and <command>rlogin</command> services, that workstation must have the <filename>xinetd</filename> package installed.
it: Prima che una workstation del realm possa usare Kerberos, per autenticare gli utenti ai servizi <command>ssh</command> o a versioni kerberizzate di <command>rsh</command> o <command>rlogin</command>, essa deve possedere il principal del proprio host, nel database di Kerberos. I server <command>sshd</command>, <command>kshd</command> e <command>klogind</command> necessitano tutti di accedere alle chiavi del principal del servizio <emphasis>host</emphasis>. Inoltre, per usare i servizi <command>rsh</command> ed <command>rlogin</command> kerberizzati, la workstation deve avere installato il pacchetto <filename>xinetd</filename>.

note: Tag: para
en: Using <command>kadmin</command>, add a host principal for the workstation on the KDC. The instance in this case is the hostname of the workstation. Use the <command>-randkey</command> option for the <command>kadmin</command>'s <command>addprinc</command> command to create the principal and assign it a random key:
it: Usando <command>kadmin</command>, aggiungere sul KDC, un principal host per la workstation. In questo caso, l'istanza è l'hostname della workstation. Passare l'opzione <command>-randkey</command> insieme al comando <command>addprinc</command>, per creare il principal ed assegnarli una chiave casuale:

note: Tag: para
en: Now that the principal has been created, keys can be extracted for the workstation by running <command>kadmin</command> <emphasis>on the workstation itself</emphasis>, and using the <command>ktadd</command> command within <command>kadmin</command>:
it: Una volta creato il principal, le chiavi possono essere estratte, eseguendo il comando <command>kadmin</command> <emphasis>sulla workstation stessa</emphasis>, seguito dal comando <command>ktadd</command>:

note: Tag: para
en: To use other kerberized network services, they must first be started. Below is a list of some common kerberized services and instructions about enabling them:
it: Per usare altri servizi kerberizzati, occorre dapprima avviarli. Di seguito si riporta una lista di alcuni comuni servizi kerberizzati e le istruzioni per abilitarli:

note: Tag: para
en: <command>ssh</command> &mdash; OpenSSH uses GSS-API to authenticate users to servers if the client's and server's configuration both have <option>GSSAPIAuthentication</option> enabled. If the client also has <option>GSSAPIDelegateCredentials</option> enabled, the user's credentials are made available on the remote system.
it: <command>ssh</command> &mdash; OpenSSH usa GSS-API per autenticare gli utenti ai servizi, se client e server sono entrambi configurati con l'opzione <option>GSSAPIAuthentication</option> abilitata. Se il client è configurato anche con l'opzione <option>GSSAPIDelegateCredentials</option> abilitata, le credenziali utente vengono rese disponibili al sistema remoto.

note: Tag: para
en: <command>rsh</command> and <command>rlogin</command> &mdash; To use the kerberized versions of <command>rsh</command> and <command>rlogin</command>, enable <command>klogin</command>, <command>eklogin</command>, and <command>kshell</command>.
it: <command>rsh</command> e <command>rlogin</command> &mdash; Per usare le versioni kerberizzate di <command>rsh</command> ed <command>rlogin</command>, abilitare <command>klogin</command>, <command>eklogin</command> e <command>kshell</command>.

note: Tag: para
en: Telnet &mdash; To use kerberized Telnet, <command>krb5-telnet</command> must be enabled.
it: <command>Telnet</command> &mdash; Per usare la versione kerberizzata di Telnet, abilitare <command>krb5-telnet</command>.

note: Tag: para
en: FTP &mdash; To provide FTP access, create and extract a key for the principal with a root of <computeroutput>ftp</computeroutput>. Be certain to set the instance to the fully qualified hostname of the FTP server, then enable <command>gssftp</command>.
it: <command>FTP</command> &mdash; Per fornire accesso FTP, creare ed estrarre una chiave per il principal, impostando il root per il principal su <computeroutput>ftp</computeroutput>. Assicurarsi di impostare l'instance con l'hostname completo del server FTP e poi abilitare <command>gssftp</command>.

note: Tag: para
en: IMAP &mdash; To use a kerberized IMAP server, the <filename>cyrus-imap</filename> package uses Kerberos 5 if it also has the <filename>cyrus-sasl-gssapi</filename> package installed. The <filename>cyrus-sasl-gssapi</filename> package contains the Cyrus SASL plugins which support GSS-API authentication. Cyrus IMAP should function properly with Kerberos as long as the <command>cyrus</command> user is able to find the proper key in <filename>/etc/krb5.keytab</filename>, and the root for the principal is set to <command>imap</command> (created with <command>kadmin</command>).
it: <command>IMAP</command> &mdash; Per usare un server IMAP kerberizzato v.5, occorre installare i pacchetti <filename>cyrus-imap</filename> e <filename>cyrus-sasl-gssapi</filename>. Quest'ultimo contiene i componenti Cyrus SASL che supportano l'autenticazione tramite GSS-API. Cyrus IMAP dovrebbe funzionare correttamente con Kerberos se l'utente <command>cyrus</command> è in grado di trovare la chiave appropriata nel file <filename>/etc/krb5.keytab</filename>, ed il root per il principal è impostato su <command>imap</command> (creato con <command>kadmin</command>).

note: Tag: para
en: An alternative to <filename>cyrus-imap</filename> can be found in the <command>dovecot</command> package, which is also included in Fedora. This package contains an IMAP server but does not, to date, support GSS-API and Kerberos.
it: Un'alternativa a <filename>cyrus-imap</filename> è data dal pacchetto <filename>dovecot</filename>, incluso anche in Fedora. Questo pacchetto contiene un server IMAP, ma per il momento senza alcun supporto per GSS-API e Kerberos.

note: Tag: para
en: CVS &mdash; To use a kerberized CVS server, <command>gserver</command> uses a principal with a root of <computeroutput>cvs</computeroutput> and is otherwise identical to the CVS <command>pserver</command>.
it: <command>CVS</command> &mdash; Per usare un server CVS kerberizzato, <command>gserver</command> usa un principal con root impostato su <computeroutput>cvs</computeroutput>; il resto è identico a <command>pserver</command> di CVS.

note: Tag: title
en: Domain-to-Realm Mapping
it: Associazione tra Dominio e Realm

note: Tag: para
en: When a client attempts to access a service running on a particular server, it knows the name of the service (<emphasis>host</emphasis>) and the name of the server (<emphasis>foo.example.com</emphasis>), but because more than one realm may be deployed on your network, it must guess at the name of the realm in which the service resides.
it: Quando un client tenta di accedere ad un servizio di rete, esso conosce il nome del servizio (<emphasis>host</emphasis>) ed il nome del server (<emphasis>foo.example.com</emphasis>), ma poichè nella rete può esserci più di un realm, il client deve innanzittutto individuare il nome del realm in cui si trova il servizio.

note: Tag: para
en: By default, the name of the realm is taken to be the DNS domain name of the server, upper-cased.
it: Per impostazione, il nome del realm coincide con il nome, in lettere maiuscole, del dominio DNS del server.

note: Tag: para
en: In some configurations, this will be sufficient, but in others, the realm name which is derived will be the name of a non-existant realm. In these cases, the mapping from the server's DNS domain name to the name of its realm must be specified in the <emphasis>domain_realm</emphasis> section of the client system's <filename>krb5.conf</filename>. For example:
it: In alcune configurazioni, ciò è sufficiente, ma in altre, il nome del realm derivato coincide con il nome di un realm inesistente. In queste situazioni, l'associazione tra il nome del dominio del server con il nome del suo realm, deve essere specificato nella sezione <emphasis>domain_realm</emphasis> del file <filename>krb5.conf</filename>, nel sistema del client. Per esempio:

note: Tag: para
en: The above configuration specifies two mappings. The first mapping specifies that any system in the "example.com" DNS domain belongs to the <emphasis>EXAMPLE.COM</emphasis> realm. The second specifies that a system with the exact name "example.com" is also in the realm. (The distinction between a domain and a specific host is marked by the presence or lack of an initial ".".) The mapping can also be stored directly in DNS.
it: La configurazione precedente specifica due associazioni. La prima specifica che ogni sistema nel dominio "example.com" appartiene al realm <emphasis>EXAMPLE.COM</emphasis>. La seconda specifica che un sistema con il nome coincidente con "example.com" si trova nello stesso realm. (La distinzione tra un dominio e uno specifico host, è contrassegnata dalla presenza o assenza di un "." iniziale.) L'associazione può essere salvata anche direttamente nel server DNS.

note: Tag: title
en: Setting Up Secondary KDCs
it: Impostare KDC secondari

note: Tag: para
en: For a number of reasons, you may choose to run multiple KDCs for a given realm. In this scenario, one KDC (the <emphasis>master KDC</emphasis>) keeps a writable copy of the realm database and runs <command>kadmind</command> (it is also your realm's <emphasis>admin server</emphasis>), and one or more KDCs (<emphasis>slave KDCs</emphasis>) keep read-only copies of the database and run <command>kpropd</command>.
it: Per diverse ragioni, si potrebbe decidere di eseguire più KDC in un dato realm. In questo scenario, un KDC (il <emphasis>master KDC</emphasis>) conserva una copia modificabile del database del realm ed esegue <command>kadmind</command> (in qualità di <emphasis>admin server</emphasis> del realm), ed uno o più KDC (<emphasis>slave KDC</emphasis>) conservano copie locali in sola lettura del database, ed eseguono <command>kpropd</command>.

note: Tag: para
en: The master-slave propagation procedure entails the master KDC dumping its database to a temporary dump file and then transmitting that file to each of its slaves, which then overwrite their previously-received read-only copies of the database with the contents of the dump file.
it: La procedura di propagazione master-slave assegna al master KDC il compito di replicare il suo database in un file temporaneo, per poi trasmetterlo a ciascuno dei suoi slave, i quali aggiornano in tal modo il contenuto della loro copia in sola lettura, ricevuta in precedenza, con il contenuto modificabile del master.

note: Tag: para
en: To set up a slave KDC, first ensure that the master KDC's <filename>krb5.conf</filename> and <filename>kdc.conf</filename> files are copied to the slave KDC.
it: Prima di procedere con l'impostazione di uno slave KDC, assicurarsi di copiare su ogni slave KDC i file <filename>krb5.conf</filename> e <filename>kdc.conf</filename> del master KDC.

note: Tag: para
en: Start <command>kadmin.local</command> from a root shell on the master KDC and use its <command>add_principal</command> command to create a new entry for the master KDC's <emphasis>host</emphasis> service, and then use its <command>ktadd</command> command to simultaneously set a random key for the service and store the random key in the master's default keytab file. This key will be used by the <command>kprop</command> command to authenticate to the slave servers. You will only need to do this once, regardless of how many slave servers you install.
it: Avviare <command>kadmin.local</command> da una shell di root, sul master KDC, ed usare il comando <command>add_principal</command> per creare una nuova istanza del servizio <emphasis>host</emphasis> sul master KDC, e poi usare il comando <command>ktadd</command> per impostare simultaneamente una chiave casuale per il servizio e salvare la chiave nel file keytab predefinito, sul master. Questa chiave è usata dal comando <command>kprop</command> per autenticazioni presso i server slave. Questa operazione va effettuata soltanto una volta, a prescindere dal numero di slave da installare.

note: Tag: para
en: Start <command>kadmin</command> from a root shell on the slave KDC and use its <command>add_principal</command> command to create a new entry for the slave KDC's <emphasis>host</emphasis> service, and then use <command>kadmin</command>'s <command>ktadd</command> command to simultaneously set a random key for the service and store the random key in the slave's default keytab file. This key is used by the <command>kpropd</command> service when authenticating clients.
it: Avviare <command>kadmin</command> da una shell di root sullo slave KDC, ed usare il comando <command>add_principal</command> per creare una nuova istanza del servizio <emphasis>host</emphasis> sullo slave KDC, e poi usare il comando  <command>ktadd</command> per impostare simultaneamente una chiave casuale per il servizio e salvare la chiave nel file keytab predefinito sullo slave. Questa chiave è usata dal servizio <command>kpropd</command> per autenticare i client.

note: Tag: para
en: With its service key, the slave KDC could authenticate any client which would connect to it. Obviously, not all of them should be allowed to provide the slave's <command>kprop</command> service with a new realm database. To restrict access, the <command>kprop</command> service on the slave KDC will only accept updates from clients whose principal names are listed in <filename>/var/kerberos/krb5kdc/kpropd.acl</filename>. Add the master KDC's host service's name to that file.
it: Con il suo servizio chiavi, lo slave KDC potrebbe autenticare ogni client che vorrebbe connettersi. E, con un nuovo database di realm, non a tutti i client dovrebbe essere permesso di usufruire del servizio <command>kprop</command> dello slave. Quindi, per limitare l'accesso, il servizio <command>kprop</command> sullo slave KDC, accetta aggiornamenti solo per quei client i cui principal sono elencati nel file <filename>/var/kerberos/krb5kdc/kpropd.acl</filename>. Aggiungere a questo file, il nome del servizio host sul master KDC.

note: Tag: para
en: Once the slave KDC has obtained a copy of the database, it will also need the master key which was used to encrypt it. If your KDC database's master key is stored in a <emphasis>stash</emphasis> file on the master KDC (typically named <filename>/var/kerberos/krb5kdc/.k5.REALM</filename>, either copy it to the slave KDC using any available secure method, or create a dummy database and identical stash file on the slave KDC by running <command>kdb5_util create -s</command> (the dummy database will be overwritten by the first successful database propagation) and supplying the same password.
it: Una volta ricevuta una copia del database, lo slave KDC ha bisogno di conoscere la chiave, usata dal master, per cifrarlo. Se la chiave è conservata in un file <emphasis>stash</emphasis> sul master KDC (tipicamente nel file <filename>/var/kerberos/krb5kdc/.k5.REALM</filename>), copiarlo sullo slave KDC usando un metodo sicuro, oppure creare un database fasullo e un identico file stash sullo slave KDC, usando il comando <command>kdb5_util create -s</command> (il database fasullo verrà sovrascritto alla prima propagazione) e impiegando la stessa password.

note: Tag: para
en: Ensure that the slave KDC's firewall allows the master KDC to contact it using TCP on port 754 (<emphasis>krb5_prop</emphasis>), and start the <command>kprop</command> service. Then, double-check that the <command>kadmin</command> service is <emphasis>disabled</emphasis>.
it: Assicurarsi che il firewall dello slave KDC permetta al master KDC di contattare lo slave sulla porta TCP 754 (<emphasis>krb5_prop</emphasis>), ed avviare il servizio <command>kprop</command>. Poi, verificare attentamente che il servizio <command>kadmin</command> sia <emphasis>disabilitato</emphasis>.

note: Tag: para
en: Now perform a manual database propagation test by dumping the realm database, on the master KDC, to the default data file which the <command>kprop</command> command will read (<filename>/var/kerberos/krb5kdc/slave_datatrans</filename>), and then use the <command>kprop</command> command to transmit its contents to the slave KDC.
it: A questo punto, effettuare un test manuale di propagazione del database, effettundo un <emphasis>dump</emphasis> del database del realm sul KDC master, nel file predefinito <filename>/var/kerberos/krb5kdc/slave_datatrans</filename>, letto dal comando <command>kprop</command>, e poi usare lo stesso comando per trasmettere il suo contenuto sullo slave KDC.

note: Tag: para
en: Using <command>kinit</command>, verify that a client system whose <filename>krb5.conf</filename> lists only the slave KDC in its list of KDCs for your realm is now correctly able to obtain initial credentials from the slave KDC.
it: Con <command>kinit</command>, verificare che un client, il cui file di configurazione <filename>krb5.conf</filename> nella lista dei KDC del realm, contiene soltanto il KDC slave, sia in grado di ricevere le credenziali iniziali dallo slave.

note: Tag: para
en: That done, simply create a script which dumps the realm database and runs the <command>kprop</command> command to transmit the database to each slave KDC in turn, and configure the <command>cron</command> service to run the script periodically.
it: Fatto ciò, creare uno script che effettui un <emphasis>dump</emphasis> del database del realm ed esegua il comando <command>kprop</command>, trasmettendo regolarmente il database ad ogni slave KDC; infine configurare il servizio <command>cron</command> per la periodica esecuzione dello script.

note: Tag: title
en: Setting Up Cross Realm Authentication
it: Impostare autenticazioni cross realm

note: Tag: para
en: <emphasis>Cross-realm authentication</emphasis> is the term which is used to describe situations in which clients (typically users) of one realm use Kerberos to authenticate to services (typically server processes running on a particular server system) which belong to a realm other than their own.
it: Con autenticazione <emphasis>cross realm</emphasis>, si indica la situazione in cui i client (tipicamente utenti), di un realm usano Kerberos per autenticarsi ai servizi appartenenti ad un diverso realm (tipicamente i servizi sono processi server in esecuzione su un particolare sistema).

note: Tag: para
en: For the simplest case, in order for a client of a realm named <literal>A.EXAMPLE.COM</literal> to access a service in the <literal>B.EXAMPLE.COM</literal> realm, both realms must share a key for a principal named <literal>krbtgt/B.EXAMPLE.COM@A.EXAMPLE.COM</literal>, and both keys must have the same key version number associated with them.
it: Nel caso più semplice, se un client di un realm di nome <literal>A.EXAMPLE.COM</literal>, vuole accedere ad un servizio del realm <literal>B.EXAMPLE.COM</literal>, entrambi i realm devono condividere una chiave per un principal di nome <literal>krbtgt/B.EXAMPLE.COM@A.EXAMPLE.COM</literal>, ed entrame le chiavi devono possedere lo stesso <literal>kvno</literal> (key version number).

note: Tag: para
en: To accomplish this, select a very strong password or passphrase, and create an entry for the principal in both realms using kadmin.
it: Per fare questo, selezionare una password o passphrase molto robusta, e con il comando kadmin, creare un'istanza per il principal in entrambi i realm.

note: Tag: para
en: Use the <command>get_principal</command> command to verify that both entries have matching key version numbers (<literal>kvno</literal> values) and encryption types.
it: Usare il comando <command>get_principal</command>, per verificare che entrambe le istanze abbiano identici <literal>kvno</literal>) e stesso tipo di cifratura.

note: Tag: title
en: Dumping the Database Doesn't Do It
it: Con il dump del Database, non funziona!

note: Tag: para
en: Security-conscious administrators may attempt to use the <command>add_principal</command> command's <literal>-randkey</literal> option to assign a random key instead of a password, dump the new entry from the database of the first realm, and import it into the second. This will not work unless the master keys for the realm databases are identical, as the keys contained in a database dump are themselves encrypted using the master key.
it: Amministratori attenti alla sicurezza, potrebbero essere tentati di usare l'opzione <literal>-randkey</literal> del comando <command>add_principal</command>, per assegnare una chiave casuale invece di usare una password; e poi effettuare un dump della nuova istanza, dal database del primo realm ed importarlo nel secondo. Ciò non funziona, a meno che non siano identiche le chiavi master nei database dei realm, poichè le chiavi contenute in un dump del database sono a loro volta cifrate con la chiave master.

note: Tag: para
en: Clients in the <literal>A.EXAMPLE.COM</literal> realm are now able to authenticate to services in the <literal>B.EXAMPLE.COM</literal> realm. Put another way, the <literal>B.EXAMPLE.COM</literal> realm now <emphasis>trusts</emphasis> the <literal>A.EXAMPLE.COM</literal> realm, or phrased even more simply, <literal>B.EXAMPLE.COM</literal> now <emphasis>trusts</emphasis> <literal>A.EXAMPLE.COM</literal>.
it: I client nel realm <literal>A.EXAMPLE.COM</literal> possono ora autenticarsi presso i servizi del realm <literal>B.EXAMPLE.COM</literal>. In altri termini, il realm <literal>B.EXAMPLE.COM</literal> si fida del realm <literal>A.EXAMPLE.COM</literal>, o più semplicemente <literal>B.EXAMPLE.COM</literal> si fida di <literal>A.EXAMPLE.COM</literal>.

note: Tag: para
en: This brings us to an important point: cross-realm trust is unidirectional by default. The KDC for the <literal>B.EXAMPLE.COM</literal> realm may trust clients from the <literal>A.EXAMPLE.COM</literal> to authenticate to services in the <literal>B.EXAMPLE.COM</literal> realm, but the fact that it does has no effect on whether or not clients in the <literal>B.EXAMPLE.COM</literal> realm are trusted to authenticate to services in the <literal>A.EXAMPLE.COM</literal> realm. To establish trust in the other direction, both realms would need to share keys for the <literal>krbtgt/A.EXAMPLE.COM@B.EXAMPLE.COM</literal> service (take note of the reversed in order of the two realms compared to the example above).
it: Ciò consente una conclusione importante: la fiducia cross-realm è per impostazione, unidirezionale. Il KDC del realm <literal>B.EXAMPLE.COM</literal> si fida dei client di <literal>A.EXAMPLE.COM</literal> autenticandoli ai servizi nel realm <literal>B.EXAMPLE.COM</literal>, ma questo fatto non dice nulla se i client nel realm <literal>B.EXAMPLE.COM</literal> siano fidati per autenticarsi ai servizi nel realm <literal>A.EXAMPLE.COM</literal>. Per stabilire la fiducia nell'altra direzione, entrambi i realm dovrebbero condividere una chiave per il servizio <literal>krbtgt/A.EXAMPLE.COM@B.EXAMPLE.COM</literal> (notare l'inversione dei due realm, rispetto all'esempio precedente).

note: Tag: para
en: If direct trust relationships were the only method for providing trust between realms, networks which contain multiple realms would be very difficult to set up. Luckily, cross-realm trust is transitive. If clients from <literal>A.EXAMPLE.COM</literal> can authenticate to services in <literal>B.EXAMPLE.COM</literal>, and clients from <literal>B.EXAMPLE.COM</literal> can authenticate to services in <literal>C.EXAMPLE.COM</literal>, then clients in <literal>A.EXAMPLE.COM</literal> can also authenticate to services in <literal>C.EXAMPLE.COM</literal>, <emphasis>even if <literal>C.EXAMPLE.COM</literal> doesn't directly trust <literal>A.EXAMPLE.COM</literal></emphasis>. This means that, on a network with multiple realms which all need to trust each other, making good choices about which trust relationships to set up can greatly reduce the amount of effort required.
it: Se le relazioni di fiducia dirette, fossero l'unico metodo disponibile per fornire la fiducia fra realm, le reti contenenti realm multipli sarebbero molto difficili da impostare. Fortunatamente, la fiducia cross-realm è transitiva. Se i client di <literal>A.EXAMPLE.COM</literal> possono autenticarsi ai servizi di <literal>B.EXAMPLE.COM</literal> ed i client di <literal>B.EXAMPLE.COM</literal> possono autenticarsi ai servizi di <literal>C.EXAMPLE.COM</literal>, allora anche i client di <literal>A.EXAMPLE.COM</literal> possono autenticarsi ai servizi di <literal>C.EXAMPLE.COM</literal>, anche senza la fiducia diretta tra <literal>C.EXAMPLE.COM</literal> ed <literal>A.EXAMPLE.COM</literal>. Quindi, in una rete con realm multipli cui occorre dare fiducia reciproca, fare delle buone scelte iniziali sulle relazioni di fiducia da accordare, può contribuire a ridurre le complicazioni di configurazione.

note: Tag: para
en: Now you face the more conventional problems: the client's system must be configured so that it can properly deduce the realm to which a particular service belongs, and it must be able to determine how to obtain credentials for services in that realm.
it: Ora occorre affrontare il problema più comune: il sistema del client deve essere configurato in modo da poter dedurre il realm cui appartiene un servizio, e deve essere in grado di determinare, come ottenere le credenziali per i servizi nel realm.

note: Tag: para
en: First things first: the principal name for a service provided from a specific server system in a given realm typically looks like this:
it: Innazitutto: il nome del principal, per un servizio offerto da un server in un realm, tipicamente ha la seguente struttura:

note: Tag: para
en: In this example, <emphasis>service</emphasis> is typically either the name of the protocol in use (other common values include <emphasis>ldap</emphasis>, <emphasis>imap</emphasis>, <emphasis>cvs</emphasis>, and <emphasis>HTTP</emphasis>) or <emphasis>host</emphasis>, <emphasis>server.example.com</emphasis> is the fully-qualified domain name of the system which runs the service, and <literal>EXAMPLE.COM</literal> is the name of the realm.
it: In questo esempio, <emphasis>service</emphasis> generalmente rappresenta il nome del protocollo (valori comuni possono essere <emphasis>ldap</emphasis>, <emphasis>imap</emphasis>, <emphasis>cvs</emphasis> ed <emphasis>HTTP</emphasis>), o l'<emphasis>host</emphasis>; <emphasis>server.example.com</emphasis> è il nome di dominio o FQDN del sistema su cui funziona il servizio, ed <literal>EXAMPLE.COM</literal> è il nome del realm.

note: Tag: para
en: To deduce the realm to which the service belongs, clients will most often consult DNS or the <literal>domain_realm</literal> section of <filename>/etc/krb5.conf</filename> to map either a hostname (<emphasis>server.example.com</emphasis>) or a DNS domain name (<emphasis>.example.com</emphasis>) to the name of a realm (<emphasis>EXAMPLE.COM</emphasis>).
it: Per dedurre il realm a cui appartiene il servizio, i client molto spesso consultano il DNS o la sezione <literal>domain_realm</literal> nel file <filename>/etc/krb5.conf</filename>, associando un hostname (<emphasis>server.example.com</emphasis>) o un nome di dominio (<emphasis>.example.com</emphasis>) al nome del realm (<emphasis>EXAMPLE.COM</emphasis>).

note: Tag: para
en: Having determined which to which realm a service belongs, a client then has to determine the set of realms which it needs to contact, and in which order it must contact them, to obtain credentials for use in authenticating to the service.
it: Dopo aver individuato il realm cui appartiene un servizio, per ottenere le credenziali da usare per autenticarsi al servizio, il client deve determinare l'insieme dei realm da contattare e sapere in quale ordine contattarli.

note: Tag: para
en: This can be done in one of two ways.
it: Ciò può avvenire in due modi.

note: Tag: para
en: The default method, which requires no explicit configuration, is to give the realms names within a shared hierarchy. For an example, assume realms named <literal>A.EXAMPLE.COM</literal>, <literal>B.EXAMPLE.COM</literal>, and <literal>EXAMPLE.COM</literal>. When a client in the <literal>A.EXAMPLE.COM</literal> realm attempts to authenticate to a service in <literal>B.EXAMPLE.COM</literal>, it will, by default, first attempt to get credentials for the <literal>EXAMPLE.COM</literal> realm, and then to use those credentials to obtain credentials for use in the <literal>B.EXAMPLE.COM</literal> realm.
it: Il metodo predefinito, che non richiede esplicita configurazione, è di assegnare ai realm, i nomi di una gerarchia condivisa. Per esempio, si considerino i seguenti realm di nome <literal>A.EXAMPLE.COM</literal>, <literal>B.EXAMPLE.COM</literal> ed <literal>EXAMPLE.COM</literal>. Quando un client del realm <literal>A.EXAMPLE.COM</literal> tenta di autenticarsi presso un servizio di <literal>B.EXAMPLE.COM</literal>, per impostazione, tenta dapprima di ottenere le credenziali per il realm <literal>EXAMPLE.COM</literal>, e poi usando queste credenziali, di ottenere le credenziali per il realm <literal>B.EXAMPLE.COM</literal>.

note: Tag: para
en: The client in this scenario treats the realm name as one might treat a DNS name. It repeatedly strips off the components of its own realm's name to generate the names of realms which are "above" it in the hierarchy until it reaches a point which is also "above" the service's realm. At that point it begins prepending components of the service's realm name until it reaches the service's realm. Each realm which is involved in the process is another "hop".
it: Il client, in questo scenario, tratta il nome del realm come un nome di DNS. In altre parole, il client rimuove ripetutamente i componenti dal proprio nome di realm, creando i nomi dei realm che si trovano in "cima" alla gerarchia, finchè non raggiunge un punto che si trova in "cima" al realm del servizio. A questo punto incomincia ad anteporre i componenti del nome del servizio, fino ad ottenere il realm del servizio. Ogni realm coinvolto nel processo è un altro "hop" (o salto).

note: Tag: para
en: For example, using credentials in <literal>A.EXAMPLE.COM</literal>, authenticating to a service in <literal>B.EXAMPLE.COM</literal><literal>A.EXAMPLE.COM &rarr; EXAMPLE.COM &rarr; B.EXAMPLE.COM </literal>
it: Per esempio, usando le credenziali in <literal>A.EXAMPLE.COM</literal>, un client vuole autenticarsi ad un servizio in <literal>B.EXAMPLE.COM</literal><literal>A.EXAMPLE.COM &rarr; EXAMPLE.COM &rarr; B.EXAMPLE.COM </literal>

note: Tag: para
en: <literal>A.EXAMPLE.COM</literal> and <literal>EXAMPLE.COM</literal> share a key for <literal>krbtgt/EXAMPLE.COM@A.EXAMPLE.COM</literal>
it: <literal>A.EXAMPLE.COM</literal> e <literal>EXAMPLE.COM</literal> condividono una chiave per <literal>krbtgt/EXAMPLE.COM@A.EXAMPLE.COM</literal>

note: Tag: para
en: <literal>EXAMPLE.COM</literal> and <literal>B.EXAMPLE.COM</literal> share a key for <literal>krbtgt/B.EXAMPLE.COM@EXAMPLE.COM</literal>
it: <literal>EXAMPLE.COM</literal> e <literal>B.EXAMPLE.COM</literal> condividono una chiave per <literal>krbtgt/B.EXAMPLE.COM@EXAMPLE.COM</literal>

note: Tag: para
en: Another example, using credentials in <literal>SITE1.SALES.EXAMPLE.COM</literal>, authenticating to a service in <literal>EVERYWHERE.EXAMPLE.COM</literal><literal>SITE1.SALES.EXAMPLE.COM &rarr; SALES.EXAMPLE.COM &rarr; EXAMPLE.COM &rarr; EVERYWHERE.EXAMPLE.COM </literal>
it: Una altro esempio: usando le credenziali in <literal>SITE1.SALES.EXAMPLE.COM</literal>, un client vuole autenticarsi ad un servizio in <literal>EVERYWHERE.EXAMPLE.COM</literal><literal>SITE1.SALES.EXAMPLE.COM &rarr; SALES.EXAMPLE.COM &rarr; EXAMPLE.COM &rarr; EVERYWHERE.EXAMPLE.COM </literal>

note: Tag: para
en: <literal>SITE1.SALES.EXAMPLE.COM</literal> and <literal>SALES.EXAMPLE.COM</literal> share a key for <literal>krbtgt/SALES.EXAMPLE.COM@SITE1.SALES.EXAMPLE.COM</literal>
it: <literal>SITE1.SALES.EXAMPLE.COM</literal> e <literal>SALES.EXAMPLE.COM</literal> condividono una chiave per <literal>krbtgt/SALES.EXAMPLE.COM@SITE1.SALES.EXAMPLE.COM</literal>

note: Tag: para
en: <literal>SALES.EXAMPLE.COM</literal> and <literal>EXAMPLE.COM</literal> share a key for <literal>krbtgt/EXAMPLE.COM@SALES.EXAMPLE.COM</literal>
it: <literal>SALES.EXAMPLE.COM</literal> e <literal>EXAMPLE.COM</literal> condividono una chiave per <literal>krbtgt/EXAMPLE.COM@SALES.EXAMPLE.COM</literal>

note: Tag: para
en: <literal>EXAMPLE.COM</literal> and <literal>EVERYWHERE.EXAMPLE.COM</literal> share a key for <literal>krbtgt/EVERYWHERE.EXAMPLE.COM@EXAMPLE.COM</literal>
it: <literal>EXAMPLE.COM</literal> e <literal>EVERYWHERE.EXAMPLE.COM</literal> condividono una chiave per <literal>krbtgt/EVERYWHERE.EXAMPLE.COM@EXAMPLE.COM</literal>

note: Tag: para
en: Another example, this time using realm names whose names share no common suffix (<literal>DEVEL.EXAMPLE.COM</literal> and <literal>PROD.EXAMPLE.ORG</literal><literal> DEVEL.EXAMPLE.COM &rarr; EXAMPLE.COM &rarr; COM &rarr; ORG &rarr; EXAMPLE.ORG &rarr; PROD.EXAMPLE.ORG </literal>
it: Un altro esempio, questa volta usando nomi di realm i cui nomi non hanno suffissi in comune (<literal>DEVEL.EXAMPLE.COM</literal> e <literal>PROD.EXAMPLE.ORG</literal><literal>) DEVEL.EXAMPLE.COM &rarr; EXAMPLE.COM &rarr; COM &rarr; ORG &rarr; EXAMPLE.ORG &rarr; PROD.EXAMPLE.ORG </literal>

note: Tag: para
en: <literal>DEVEL.EXAMPLE.COM</literal> and <literal>EXAMPLE.COM</literal> share a key for <literal>krbtgt/EXAMPLE.COM@DEVEL.EXAMPLE.COM</literal>
it: <literal>DEVEL.EXAMPLE.COM</literal> e <literal>EXAMPLE.COM</literal> condividono una chiave per <literal>krbtgt/EXAMPLE.COM@DEVEL.EXAMPLE.COM</literal>

note: Tag: para
en: <literal>EXAMPLE.COM</literal> and <literal>COM</literal> share a key for <literal>krbtgt/COM@EXAMPLE.COM</literal>
it: <literal>EXAMPLE.COM</literal> e <literal>COM</literal> condividono una chiave per <literal>krbtgt/COM@EXAMPLE.COM</literal>

note: Tag: para
en: <literal>COM</literal> and <literal>ORG</literal> share a key for <literal>krbtgt/ORG@COM</literal>
it: <literal>COM</literal> e <literal>ORG</literal> condividono una chiave per <literal>krbtgt/ORG@COM</literal>

note: Tag: para
en: <literal>ORG</literal> and <literal>EXAMPLE.ORG</literal> share a key for <literal>krbtgt/EXAMPLE.ORG@ORG</literal>
it: <literal>ORG</literal> e <literal>EXAMPLE.ORG</literal> condividono una chiave per <literal>krbtgt/EXAMPLE.ORG@ORG</literal>

note: Tag: para
en: <literal>EXAMPLE.ORG</literal> and <literal>PROD.EXAMPLE.ORG</literal> share a key for <literal>krbtgt/PROD.EXAMPLE.ORG@EXAMPLE.ORG</literal>
it: <literal>EXAMPLE.ORG</literal> e <literal>PROD.EXAMPLE.ORG</literal> condividono una chiave per <literal>krbtgt/PROD.EXAMPLE.ORG@EXAMPLE.ORG</literal>

note: Tag: para
en: The more complicated, but also more flexible, method involves configuring the <literal>capaths</literal> section of <filename>/etc/krb5.conf</filename>, so that clients which have credentials for one realm will be able to look up which realm is next in the chain which will eventually lead to the being able to authenticate to servers.
it: Il metodo più complicato ma anche più flessibile, comporta la configurazione della sezione <literal>capaths</literal> nel file <filename>/etc/krb5.conf</filename>, permettendo ai client che hanno le credenziali per un realm di trovare il realm successivo nella catena, che eventualmente li autenticherà al server.

note: Tag: para
en: The format of the <literal>capaths</literal> section is relatively straightforward: each entry in the section is named after a realm in which a client might exist. Inside of that subsection, the set of intermediate realms from which the client must obtain credentials is listed as values of the key which corresponds to the realm in which a service might reside. If there are no intermediate realms, the value "." is used.
it: L'interpretazione della sezione <literal>capaths</literal> è relativamente immediato: la voce iniziale nella sezione è il nome del realm in cui si trova il client. All'interno della sezione, si trovano elencati i realm intermedi, da cui il client deve ottenere le credenziali. Se non ci sono realm intermedi, si usa il valore ".".

note: Tag: para
en: Here's an example:
it: Ecco un esempio:

note: Tag: para
en: In this example, clients in the <literal>A.EXAMPLE.COM</literal> realm can obtain cross-realm credentials for <literal>B.EXAMPLE.COM</literal> directly from the <literal>A.EXAMPLE.COM</literal> KDC.
it: Nell'esempio, i client nel realm <literal>A.EXAMPLE.COM</literal> possono ottenere le credenziali cross-realm per <literal>B.EXAMPLE.COM</literal>, direttamente dal KDC del realm <literal>A.EXAMPLE.COM</literal>.

note: Tag: para
en: If those clients wish to contact a service in the<literal>C.EXAMPLE.COM</literal> realm, they will first need to obtain necessary credentials from the <literal>B.EXAMPLE.COM</literal> realm (this requires that <literal>krbtgt/B.EXAMPLE.COM@A.EXAMPLE.COM</literal> exist), and then use <literal>those</literal> credentials to obtain credentials for use in the <literal>C.EXAMPLE.COM</literal> realm (using <literal>krbtgt/C.EXAMPLE.COM@B.EXAMPLE.COM</literal>).
it: Se quei client vogliono contattare un servizio del realm <literal>C.EXAMPLE.COM</literal>, essi devono prima ottenere le credenziali dal realm <literal>B.EXAMPLE.COM</literal> (occorre che esista <literal>krbtgt/B.EXAMPLE.COM@A.EXAMPLE.COM</literal>), e poi usare <literal>queste</literal> credenziali, per ottenere le credenzialli da usare nel realm <literal>C.EXAMPLE.COM</literal> (usando  <literal>krbtgt/C.EXAMPLE.COM@B.EXAMPLE.COM</literal>).

note: Tag: para
en: If those clients wish to contact a service in the <literal>D.EXAMPLE.COM</literal> realm, they will first need to obtain necessary credentials from the <literal>B.EXAMPLE.COM</literal> realm, and then credentials from the <literal>C.EXAMPLE.COM</literal> realm, before finally obtaining credentials for use with the <literal>D.EXAMPLE.COM</literal> realm.
it: Se quei client vogliono contattare un servizio del realm <literal>D.EXAMPLE.COM</literal>, essi devono prima ottenere le credenziali dal realm <literal>B.EXAMPLE.COM</literal>, e poi quelle dal realm <literal>C.EXAMPLE.COM</literal>, prima di ottenere finalmente le credenziali da usare con il realm <literal>D.EXAMPLE.COM</literal>.

note: Tag: para
en: Without a capath entry indicating otherwise, Kerberos assumes that cross-realm trust relationships form a hierarchy.
it: Senza una sezione capath che indichi il contrario, Kerberos assume che la relazione di fiducia cross-realm, sia di tipo gerarchico.

note: Tag: para
en: Clients in the <literal>A.EXAMPLE.COM</literal> realm can obtain cross-realm credentials from <literal>B.EXAMPLE.COM</literal> realm directly. Without the "." indicating this, the client would instead attempt to use a hierarchical path, in this case:
it: I client nel realm <literal>A.EXAMPLE.COM</literal> possono ottenere credenziali cross-realm, direttamente dal realm <literal>B.EXAMPLE.COM</literal>. Senza l'indicazione del ".", il client avrebbe provato ad usare una ricerca di tipo gerarchico; in questo caso:

note: Tag: title
en: Additional Resources
it: Ulteriori risorse

note: Tag: para
en: For more information about Kerberos, refer to the following resources.
it: Per maggiori informazioni su Kerberos, fare riferimento alle seguenti risorse.

note: Tag: title
en: Installed Kerberos Documentation
it: Documentazione locale su Kerberos

note: Tag: para
en: The <citetitle>Kerberos V5 Installation Guide</citetitle> and the <citetitle>Kerberos V5 System Administrator's Guide</citetitle> in PostScript and HTML formats. These can be found in the <filename>/usr/share/doc/krb5-server-<replaceable>&lt;version-number&gt;</replaceable>/</filename> directory (where <replaceable>&lt;version-number&gt;</replaceable> is the version number of the <command>krb5-server</command> package installed on your system).
it: <citetitle>Kerberos V5 Installation Guide</citetitle> e <citetitle>Kerberos V5 System Administrator's Guide</citetitle>, in formato PostScript ed HTML. Le guide si trovano nella directory <filename>/usr/share/doc/krb5-server-<replaceable>&lt;version-number&gt;</replaceable>/</filename>, dove <replaceable>&lt;version-number&gt;</replaceable> è la version del pacchetto <command>krb5-server</command> installato.

note: Tag: para
en: The <citetitle>Kerberos V5 UNIX User's Guide</citetitle> in PostScript and HTML formats. These can be found in the <filename>/usr/share/doc/krb5-workstation-<replaceable>&lt;version-number&gt;</replaceable>/</filename> directory (where <replaceable>&lt;version-number&gt;</replaceable> is the version number of the <command>krb5-workstation</command> package installed on your system).
it: <citetitle>Kerberos V5 UNIX User's Guide</citetitle>, in formato PostScript ed HTML. La guida si trova nella directory <filename>/usr/share/doc/krb5-workstation-<replaceable>&lt;version-number&gt;</replaceable>/</filename>, in cui <replaceable>&lt;version-number&gt;</replaceable> è la versione del pacchetto <command>krb5-workstation</command> installato.

note: Tag: para
en: Kerberos man pages &mdash; There are a number of man pages for the various applications and configuration files involved with a Kerberos implementation. The following is a list of some of the more important man pages.
it: Pagine di man relative a Kerberos &mdash; Ci sono un buon numero di pagine man, che descrivono le varie applicazioni e i file di configurazione riguardanti una implementazione di Kerberos. Di seguito, si riporta un elenco delle più importanti pagine di man.

note: Tag: term
en: Client Applications
it: Applicazioni Client

note: Tag: para
en: <command>man kerberos</command> &mdash; An introduction to the Kerberos system which describes how credentials work and provides recommendations for obtaining and destroying Kerberos tickets. The bottom of the man page references a number of related man pages.
it: <command>man kerberos</command> &mdash; Una introduzione al sistema Kerberos, in cui viene descritto come funzionano le credenziali, oltre a utili raccomandazioni su come ottenere e distruggere i ticket emessi da Kerberos. La parte finale della pagina di man, contiene i riferimenti ad ulteriori pagine.

note: Tag: para
en: <command>man kinit</command> &mdash; Describes how to use this command to obtain and cache a ticket-granting ticket.
it: <command>man kinit</command> &mdash; Descrive come usare questo comando per ottenere e memorizzare i ticket.

note: Tag: para
en: <command>man kdestroy</command> &mdash; Describes how to use this command to destroy Kerberos credentials.
it: <command>man kdestroy</command> &mdash; Descrive come usare questo comando per distruggere le credenziali Kerberos.

note: Tag: para
en: <command>man klist</command> &mdash; Describes how to use this command to list cached Kerberos credentials.
it: <command>man klist</command> &mdash; Descrive come usare questo comando per visualizzare le credenziali Kerberos memorizzate.

note: Tag: term
en: Administrative Applications
it: Applicazioni Amministrative

note: Tag: para
en: <command>man kadmin</command> &mdash; Describes how to use this command to administer the Kerberos V5 database.
it: <command>man kadmin</command> &mdash; Descrive come usare questo comando per amministrare il database Kerberos V5.

note: Tag: para
en: <command>man kdb5_util</command> &mdash; Describes how to use this command to create and perform low-level administrative functions on the Kerberos V5 database.
it: <command>man kdb5_util</command> &mdash; Descrive come usare questo comando per creare ed effettuare operazioni amministrative di basso livello, sul database Kerberos V5.

note: Tag: term
en: Server Applications
it: Applicazioni Server

note: Tag: para
en: <command>man krb5kdc</command> &mdash; Describes available command line options for the Kerberos V5 KDC.
it: <command>man krb5kdc</command> &mdash; Descrive le opzioni disponibili da riga di comando per il KDC Kerberos V5.

note: Tag: para
en: <command>man kadmind</command> &mdash; Describes available command line options for the Kerberos V5 administration server.
it: <command>man kadmind</command> &mdash; Descrive le opzioni disponibili da riga di comando per l'AS Kerberos V5.

note: Tag: term
en: Configuration Files
it: File di Configurazione

note: Tag: para
en: <command>man krb5.conf</command> &mdash; Describes the format and options available within the configuration file for the Kerberos V5 library.
it: <command>man krb5.conf</command> &mdash; Descrive il formato e le opzioni disponibili, nel file di configurazione, per la libreria Kerberos V5.

note: Tag: para
en: <command>man kdc.conf</command> &mdash; Describes the format and options available within the configuration file for the Kerberos V5 AS and KDC.
it: <command>man kdc.conf</command> &mdash; Descrive il formato e le opzioni disponibili, nel file di configurazione, per l'AS e il KDC Kerberos V5.

note: Tag: title
en: Useful Kerberos Websites
it: Siti utili su Kerberos

note: Tag: para
en: <ulink url="http://web.mit.edu/kerberos/www/">http://web.mit.edu/kerberos/www/</ulink> &mdash; <citetitle>Kerberos: The Network Authentication Protocol</citetitle> webpage from MIT.
it: <ulink url="http://web.mit.edu/kerberos/www/">Kerberos: The Network Authentication Protocol</ulink> &mdash; sul sito del MIT.

note: Tag: para
en: <ulink url="http://www.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html">http://www.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html</ulink> &mdash; The Kerberos Frequently Asked Questions (FAQ).
it: <ulink url="http://www.cmf.nrl.navy.mil/CCS/people/kenh/kerberos-faq.html">The Kerberos Frequently Asked Questions </ulink> &mdash; Utili Domande/Risposte su Kerberos

note: Tag: para
en: <ulink url="ftp://athena-dist.mit.edu/pub/kerberos/doc/usenix.PS">ftp://athena-dist.mit.edu/pub/kerberos/doc/usenix.PS</ulink> &mdash; The PostScript version of <citetitle>Kerberos: An Authentication Service for Open Network Systems</citetitle> by Jennifer G. Steiner, Clifford Neuman, and Jeffrey I. Schiller. This document is the original paper describing Kerberos.
it: <ulink url="ftp://athena-dist.mit.edu/pub/kerberos/doc/usenix.PS">Kerberos: An Authentication Service for Open Network Systems</ulink> &mdash; E' la versione PostScript del documento originario su Kerberos, scritto da Jennifer G. Steiner, Clifford Neuman, e Jeffrey I. Schiller.

note: Tag: para
en: <ulink url="http://web.mit.edu/kerberos/www/dialogue.html">http://web.mit.edu/kerberos/www/dialogue.html</ulink> &mdash; <citetitle>Designing an Authentication System: a Dialogue in Four Scenes</citetitle> originally by Bill Bryant in 1988, modified by Theodore Ts'o in 1997. This document is a conversation between two developers who are thinking through the creation of a Kerberos-style authentication system. The conversational style of the discussion make this a good starting place for people who are completely unfamiliar with Kerberos.
it: <ulink url="http://web.mit.edu/kerberos/www/dialogue.html">Designing an Authentication System: a Dialogue in Four Scenes</ulink> &mdash; Questo documento, scritto originariamente da Bill Bryant nel 1988, e modificato da Theodore Ts'o nel 1997, è una conversazione tra due sviluppatori che riflettono sul progetto di un sistema di autenticazione in stile Kerberos. Lo stile colloquiale della discussione, lo rende un buon punto di partenza per coloro che sono completamente all'oscuro di Kerberos.

note: Tag: para
en: <ulink url="http://www.ornl.gov/~jar/HowToKerb.html">http://www.ornl.gov/~jar/HowToKerb.html</ulink> &mdash; <citetitle>How to Kerberize your site</citetitle> is a good reference for kerberizing a network.
it: <ulink url="http://www.ornl.gov/~jar/HowToKerb.html">How to Kerberize your site</ulink> &mdash; E' un buon riferimento per kerberizzare una rete.

note: Tag: para
en: <ulink url="http://www.networkcomputing.com/netdesign/kerb1.html">http://www.networkcomputing.com/netdesign/kerb1.html</ulink> &mdash; <citetitle>Kerberos Network Design Manual</citetitle> is a thorough overview of the Kerberos system.
it: <ulink url="http://www.networkcomputing.com/netdesign/kerb1.html">Kerberos Network Design Manual</ulink> &mdash; Fornisce una panoramica sul sistema Kerberos.
