src/man/kadmin.man

   1 .TH "KADMIN" "1" " " "0.0.1" "MIT Kerberos"
   2 .SH NAME
   3 kadmin \- Kerberos V5 database administration program
   4 .
   5 .nr rst2man-indent-level 0
   6 .
   7 .de1 rstReportMargin
   8 \\$1 \\n[an-margin]
   9 level \\n[rst2man-indent-level]
  10 level margin: \\n[rst2man-indent\\n[rst2man-indent-level]]
  11 -
  12 \\n[rst2man-indent0]
  13 \\n[rst2man-indent1]
  14 \\n[rst2man-indent2]
  15 ..
  16 .de1 INDENT
  17 .\" .rstReportMargin pre:
  18 . RS \\$1
  19 . nr rst2man-indent\\n[rst2man-indent-level] \\n[an-margin]
  20 . nr rst2man-indent-level +1
  21 .\" .rstReportMargin post:
  22 ..
  23 .de UNINDENT
  24 . RE
  25 .\" indent \\n[an-margin]
  26 .\" old: \\n[rst2man-indent\\n[rst2man-indent-level]]
  27 .nr rst2man-indent-level -1
  28 .\" new: \\n[rst2man-indent\\n[rst2man-indent-level]]
  29 .in \\n[rst2man-indent\\n[rst2man-indent-level]]u
  30 ..
  31 .\" Man page generated from reStructeredText.
  32 .
  33 .SH SYNOPSIS
  34 .sp
  35 \fBkadmin\fP
  36 [\fB\-O\fP|\fB\-N\fP]
  37 [\fB\-r\fP \fIrealm\fP]
  38 [\fB\-p\fP \fIprincipal\fP]
  39 [\fB\-q\fP \fIquery\fP]
  40 [[\fB\-c\fP \fIcache_name\fP]|[\fB\-k\fP [\fB\-t\fP \fIkeytab\fP]]|\fB\-n\fP]
  41 [\fB\-w\fP \fIpassword\fP]
  42 [\fB\-s\fP \fIadmin_server\fP[:\fIport\fP]]
  43 .sp
  44 \fBkadmin.local\fP
  45 [\fB\-r\fP \fIrealm\fP]
  46 [\fB\-p\fP \fIprincipal\fP]
  47 [\fB\-q\fP \fIquery\fP]
  48 [\fB\-d\fP \fIdbname\fP]
  49 [\fB\-e\fP \fIenc\fP:\fIsalt\fP ...]
  50 [\fB\-m\fP]
  51 [\fB\-x\fP \fIdb_args\fP]
  52 .SH DESCRIPTION
  53 .sp
  54 kadmin and kadmin.local are command\-line interfaces to the Kerberos V5
  55 administration system.  They provide nearly identical functionalities;
  56 the difference is that kadmin.local directly accesses the KDC
  57 database, while kadmin performs operations using \fIkadmind(8)\fP.
  58 Except as explicitly noted otherwise, this man page will use "kadmin"
  59 to refer to both versions.  kadmin provides for the maintenance of
  60 Kerberos principals, password policies, and service key tables
  61 (keytabs).
  62 .sp
  63 The remote kadmin client uses Kerberos to authenticate to kadmind
  64 using the service principal \fBkadmin/ADMINHOST\fP (where \fIADMINHOST\fP is
  65 the fully\-qualified hostname of the admin server) or \fBkadmin/admin\fP.
  66 If the credentials cache contains a ticket for one of these
  67 principals, and the \fB\-c\fP credentials_cache option is specified, that
  68 ticket is used to authenticate to kadmind.  Otherwise, the \fB\-p\fP and
  69 \fB\-k\fP options are used to specify the client Kerberos principal name
  70 used to authenticate.  Once kadmin has determined the principal name,
  71 it requests a service ticket from the KDC, and uses that service
  72 ticket to authenticate to kadmind.
  73 .sp
  74 Since kadmin.local directly accesses the KDC database, it usually must
  75 be run directly on the master KDC with sufficient permissions to read
  76 the KDC database.  If the KDC database uses the LDAP database module,
  77 kadmin.local can be run on any host which can access the LDAP server.
  78 .SH OPTIONS
  79 .INDENT 0.0
  80 .TP
  81 .B \fB\-r\fP \fIrealm\fP
  82 .sp
  83 Use \fIrealm\fP as the default database realm.
  84 .TP
  85 .B \fB\-p\fP \fIprincipal\fP
  86 .sp
  87 Use \fIprincipal\fP to authenticate.  Otherwise, kadmin will append
  88 \fB/admin\fP to the primary principal name of the default ccache,
  89 the value of the \fBUSER\fP environment variable, or the username as
  90 obtained with getpwuid, in order of preference.
  91 .TP
  92 .B \fB\-k\fP
  93 .sp
  94 Use a keytab to decrypt the KDC response instead of prompting for
  95 a password.  In this case, the default principal will be
  96 \fBhost/hostname\fP.  If there is no keytab specified with the
  97 \fB\-t\fP option, then the default keytab will be used.
  98 .TP
  99 .B \fB\-t\fP \fIkeytab\fP
 100 .sp
 101 Use \fIkeytab\fP to decrypt the KDC response.  This can only be used
 102 with the \fB\-k\fP option.
 103 .TP
 104 .B \fB\-n\fP
 105 .sp
 106 Requests anonymous processing.  Two types of anonymous principals
 107 are supported.  For fully anonymous Kerberos, configure PKINIT on
 108 the KDC and configure \fBpkinit_anchors\fP in the client\(aqs
 109 \fIkrb5.conf(5)\fP.  Then use the \fB\-n\fP option with a principal
 110 of the form \fB@REALM\fP (an empty principal name followed by the
 111 at\-sign and a realm name).  If permitted by the KDC, an anonymous
 112 ticket will be returned.  A second form of anonymous tickets is
 113 supported; these realm\-exposed tickets hide the identity of the
 114 client but not the client\(aqs realm.  For this mode, use \fBkinit
 115 \-n\fP with a normal principal name.  If supported by the KDC, the
 116 principal (but not realm) will be replaced by the anonymous
 117 principal.  As of release 1.8, the MIT Kerberos KDC only supports
 118 fully anonymous operation.
 119 .TP
 120 .B \fB\-c\fP \fIcredentials_cache\fP
 121 .sp
 122 Use \fIcredentials_cache\fP as the credentials cache.  The
 123 cache should contain a service ticket for the \fBkadmin/ADMINHOST\fP
 124 (where \fIADMINHOST\fP is the fully\-qualified hostname of the admin
 125 server) or \fBkadmin/admin\fP service; it can be acquired with the
 126 \fIkinit(1)\fP program.  If this option is not specified, kadmin
 127 requests a new service ticket from the KDC, and stores it in its
 128 own temporary ccache.
 129 .TP
 130 .B \fB\-w\fP \fIpassword\fP
 131 .sp
 132 Use \fIpassword\fP instead of prompting for one.  Use this option with
 133 care, as it may expose the password to other users on the system
 134 via the process list.
 135 .TP
 136 .B \fB\-q\fP \fIquery\fP
 137 .sp
 138 Perform the specified query and then exit.  This can be useful for
 139 writing scripts.
 140 .TP
 141 .B \fB\-d\fP \fIdbname\fP
 142 .sp
 143 Specifies the name of the KDC database.  This option does not
 144 apply to the LDAP database module.
 145 .TP
 146 .B \fB\-s\fP \fIadmin_server\fP[:\fIport\fP]
 147 .sp
 148 Specifies the admin server which kadmin should contact.
 149 .TP
 150 .B \fB\-m\fP
 151 .sp
 152 If using kadmin.local, prompt for the database master password
 153 instead of reading it from a stash file.
 154 .TP
 155 .B \fB\-e\fP "\fIenc\fP:\fIsalt\fP ..."
 156 .sp
 157 Sets the list of encryption types and salt types to be used for
 158 any new keys created.  See \fIEncryption_and_salt_types\fP in
 159 \fIkdc.conf(5)\fP for a list of possible values.
 160 .TP
 161 .B \fB\-O\fP
 162 .sp
 163 Force use of old AUTH_GSSAPI authentication flavor.
 164 .TP
 165 .B \fB\-N\fP
 166 .sp
 167 Prevent fallback to AUTH_GSSAPI authentication flavor.
 168 .TP
 169 .B \fB\-x\fP \fIdb_args\fP
 170 .sp
 171 Specifies the database specific arguments.  Options supported for
 172 the LDAP database module are:
 173 .INDENT 7.0
 174 .TP
 175 .B \fB\-x host=\fP\fIhostname\fP
 176 .sp
 177 specifies the LDAP server to connect to by a LDAP URI.
 178 .TP
 179 .B \fB\-x binddn=\fP\fIbind_dn\fP
 180 .sp
 181 specifies the DN of the object used by the administration
 182 server to bind to the LDAP server.  This object should have
 183 the read and write privileges on the realm container, the
 184 principal container, and the subtree that is referenced by the
 185 realm.
 186 .TP
 187 .B \fB\-x bindpwd=\fP\fIbind_password\fP
 188 .sp
 189 specifies the password for the above mentioned binddn.  Using
 190 this option may expose the password to other users on the
 191 system via the process list; to avoid this, instead stash the
 192 password using the \fBstashsrvpw\fP command of
 193 \fIkdb5_ldap_util(8)\fP.
 194 .UNINDENT
 195 .UNINDENT
 196 .SH DATE FORMAT
 197 .sp
 198 Many of the kadmin commands take a duration or time as an
 199 argument. The date can appear in a wide variety of formats, such as:
 200 .INDENT 0.0
 201 .INDENT 3.5
 202 .sp
 203 .nf
 204 .ft C
 205 1 month ago
 206 2 hours ago
 207 400000 seconds ago
 208 last year
 209 this Monday
 210 next Monday
 211 yesterday
 212 tomorrow
 213 now
 214 second Monday
 215 fortnight ago
 216 3/31/92 10:00:07 PST
 217 January 23, 1987 10:05pm
 218 22:00 GMT
 219 .ft P
 220 .fi
 221 .UNINDENT
 222 .UNINDENT
 223 .sp
 224 Dates which do not have the "ago" specifier default to being absolute
 225 dates, unless they appear in a field where a duration is expected.  In
 226 that case the time specifier will be interpreted as relative.
 227 Specifying "ago" in a duration may result in unexpected behavior.
 228 .sp
 229 The following is a list of all of the allowable keywords.
 230 .TS
 231 center;
 232 |l|l|.
 233 _
 234 T{
 235 Months
 236 T}      T{
 237 january, jan, february, feb, march, mar, april, apr, may,
 238 june, jun, july, jul, august, aug, september, sep, sept,
 239 october, oct, november, nov, december, dec
 240 T}
 241 _
 242 T{
 243 Days
 244 T}      T{
 245 sunday, sun, monday, mon, tuesday, tues, tue, wednesday,
 246 wednes, wed, thursday, thurs, thur, thu, friday, fri,
 247 saturday, sat
 248 T}
 249 _
 250 T{
 251 Units
 252 T}      T{
 253 year, month, fortnight, week, day, hour, minute, min,
 254 second, sec
 255 T}
 256 _
 257 T{
 258 Relative
 259 T}      T{
 260 tomorrow, yesterday, today, now, last, this, next, first,
 261 second, third, fourth, fifth, sixth, seventh, eighth,
 262 ninth, tenth, eleventh, twelfth, ago
 263 T}
 264 _
 265 T{
 266 Time Zones
 267 T}      T{
 268 kadmin recognizes abbreviations for most of the world\(aqs
 269 time zones.
 270 T}
 271 _
 272 T{
 273 Meridians
 274 T}      T{
 275 am, pm
 276 T}
 277 _
 278 .TE
 279 .SH COMMANDS
 280 .sp
 281 When using the remote client, available commands may be restricted
 282 according to the privileges specified in the kadm5.acl file on the
 283 admin server.
 284 .SS add_principal
 285 .INDENT 0.0
 286 .INDENT 3.5
 287 .sp
 288 \fBadd_principal\fP [\fIoptions\fP] \fInewprinc\fP
 289 .UNINDENT
 290 .UNINDENT
 291 .sp
 292 Creates the principal \fInewprinc\fP, prompting twice for a password.  If
 293 no password policy is specified with the \fB\-policy\fP option, and the
 294 policy named \fBdefault\fP is assigned to the principal if it exists.
 295 However, creating a policy named \fBdefault\fP will not automatically
 296 assign this policy to previously existing principals.  This policy
 297 assignment can be suppressed with the \fB\-clearpolicy\fP option.
 298 .sp
 299 This command requires the \fBadd\fP privilege.
 300 .sp
 301 Aliases: \fBaddprinc\fP, \fBank\fP
 302 .sp
 303 Options:
 304 .INDENT 0.0
 305 .TP
 306 .B \fB\-expire\fP \fIexpdate\fP
 307 .sp
 308 expiration date of the principal
 309 .TP
 310 .B \fB\-pwexpire\fP \fIpwexpdate\fP
 311 .sp
 312 password expiration date
 313 .TP
 314 .B \fB\-maxlife\fP \fImaxlife\fP
 315 .sp
 316 maximum ticket life for the principal
 317 .TP
 318 .B \fB\-maxrenewlife\fP \fImaxrenewlife\fP
 319 .sp
 320 maximum renewable life of tickets for the principal
 321 .TP
 322 .B \fB\-kvno\fP \fIkvno\fP
 323 .sp
 324 initial key version number
 325 .TP
 326 .B \fB\-policy\fP \fIpolicy\fP
 327 .sp
 328 password policy used by this principal.  If not specified, the
 329 policy \fBdefault\fP is used if it exists (unless \fB\-clearpolicy\fP
 330 is specified).
 331 .TP
 332 .B \fB\-clearpolicy\fP
 333 .sp
 334 prevents any policy from being assigned when \fB\-policy\fP is not
 335 specified.
 336 .TP
 337 .B {\-|+}\fBallow_postdated\fP
 338 .sp
 339 \fB\-allow_postdated\fP prohibits this principal from obtaining
 340 postdated tickets.  \fB+allow_postdated\fP clears this flag.
 341 .TP
 342 .B {\-|+}\fBallow_forwardable\fP
 343 .sp
 344 \fB\-allow_forwardable\fP prohibits this principal from obtaining
 345 forwardable tickets.  \fB+allow_forwardable\fP clears this flag.
 346 .TP
 347 .B {\-|+}\fBallow_renewable\fP
 348 .sp
 349 \fB\-allow_renewable\fP prohibits this principal from obtaining
 350 renewable tickets.  \fB+allow_renewable\fP clears this flag.
 351 .TP
 352 .B {\-|+}\fBallow_proxiable\fP
 353 .sp
 354 \fB\-allow_proxiable\fP prohibits this principal from obtaining
 355 proxiable tickets.  \fB+allow_proxiable\fP clears this flag.
 356 .TP
 357 .B {\-|+}\fBallow_dup_skey\fP
 358 .sp
 359 \fB\-allow_dup_skey\fP disables user\-to\-user authentication for this
 360 principal by prohibiting this principal from obtaining a session
 361 key for another user.  \fB+allow_dup_skey\fP clears this flag.
 362 .TP
 363 .B {\-|+}\fBrequires_preauth\fP
 364 .sp
 365 \fB+requires_preauth\fP requires this principal to preauthenticate
 366 before being allowed to kinit.  \fB\-requires_preauth\fP clears this
 367 flag.
 368 .TP
 369 .B {\-|+}\fBrequires_hwauth\fP
 370 .sp
 371 \fB+requires_hwauth\fP requires this principal to preauthenticate
 372 using a hardware device before being allowed to kinit.
 373 \fB\-requires_hwauth\fP clears this flag.
 374 .TP
 375 .B {\-|+}\fBok_as_delegate\fP
 376 .sp
 377 \fB+ok_as_delegate\fP sets the \fBokay as delegate\fP flag on tickets
 378 issued with this principal as the service.  Clients may use this
 379 flag as a hint that credentials should be delegated when
 380 authenticating to the service.  \fB\-ok_as_delegate\fP clears this
 381 flag.
 382 .TP
 383 .B {\-|+}\fBallow_svr\fP
 384 .sp
 385 \fB\-allow_svr\fP prohibits the issuance of service tickets for this
 386 principal.  \fB+allow_svr\fP clears this flag.
 387 .TP
 388 .B {\-|+}\fBallow_tgs_req\fP
 389 .sp
 390 \fB\-allow_tgs_req\fP specifies that a Ticket\-Granting Service (TGS)
 391 request for a service ticket for this principal is not permitted.
 392 \fB+allow_tgs_req\fP clears this flag.
 393 .TP
 394 .B {\-|+}\fBallow_tix\fP
 395 .sp
 396 \fB\-allow_tix\fP forbids the issuance of any tickets for this
 397 principal.  \fB+allow_tix\fP clears this flag.
 398 .TP
 399 .B {\-|+}\fBneedchange\fP
 400 .sp
 401 \fB+needchange\fP forces a password change on the next initial
 402 authentication to this principal.  \fB\-needchange\fP clears this
 403 flag.
 404 .TP
 405 .B {\-|+}\fBpassword_changing_service\fP
 406 .sp
 407 \fB+password_changing_service\fP marks this principal as a password
 408 change service principal.
 409 .TP
 410 .B \fB\-randkey\fP
 411 .sp
 412 sets the key of the principal to a random value
 413 .TP
 414 .B \fB\-pw\fP \fIpassword\fP
 415 .sp
 416 sets the password of the principal to the specified string and
 417 does not prompt for a password.  Note: using this option in a
 418 shell script may expose the password to other users on the system
 419 via the process list.
 420 .TP
 421 .B \fB\-e\fP \fIenc\fP:\fIsalt\fP,...
 422 .sp
 423 uses the specified list of enctype\-salttype pairs for setting the
 424 key of the principal.
 425 .TP
 426 .B \fB\-x\fP \fIdb_princ_args\fP
 427 .sp
 428 indicates database\-specific options.  The options for the LDAP
 429 database module are:
 430 .INDENT 7.0
 431 .TP
 432 .B \fB\-x dn=\fP\fIdn\fP
 433 .sp
 434 specifies the LDAP object that will contain the Kerberos
 435 principal being created.
 436 .TP
 437 .B \fB\-x linkdn=\fP\fIdn\fP
 438 .sp
 439 specifies the LDAP object to which the newly created Kerberos
 440 principal object will point.
 441 .TP
 442 .B \fB\-x containerdn=\fP\fIcontainer_dn\fP
 443 .sp
 444 specifies the container object under which the Kerberos
 445 principal is to be created.
 446 .TP
 447 .B \fB\-x tktpolicy=\fP\fIpolicy\fP
 448 .sp
 449 associates a ticket policy to the Kerberos principal.
 450 .UNINDENT
 451 .IP Note
 452 .INDENT 7.0
 453 .IP \(bu 2
 454 .
 455 The \fBcontainerdn\fP and \fBlinkdn\fP options cannot be
 456 specified with the \fBdn\fP option.
 457 .IP \(bu 2
 458 .
 459 If the \fIdn\fP or \fIcontainerdn\fP options are not specified while
 460 adding the principal, the principals are created under the
 461 principal container configured in the realm or the realm
 462 container.
 463 .IP \(bu 2
 464 .
 465 \fIdn\fP and \fIcontainerdn\fP should be within the subtrees or
 466 principal container configured in the realm.
 467 .UNINDENT
 468 .RE
 469 .UNINDENT
 470 .sp
 471 Example:
 472 .INDENT 0.0
 473 .INDENT 3.5
 474 .sp
 475 .nf
 476 .ft C
 477 kadmin: addprinc jennifer
 478 WARNING: no policy specified for "jennifer@ATHENA.MIT.EDU";
 479 defaulting to no policy.
 480 Enter password for principal jennifer@ATHENA.MIT.EDU:
 481 Re\-enter password for principal jennifer@ATHENA.MIT.EDU:
 482 Principal "jennifer@ATHENA.MIT.EDU" created.
 483 kadmin:
 484 .ft P
 485 .fi
 486 .UNINDENT
 487 .UNINDENT
 488 .SS modify_principal
 489 .INDENT 0.0
 490 .INDENT 3.5
 491 .sp
 492 \fBmodify_principal\fP [\fIoptions\fP] \fIprincipal\fP
 493 .UNINDENT
 494 .UNINDENT
 495 .sp
 496 Modifies the specified principal, changing the fields as specified.
 497 The options to \fBadd_principal\fP also apply to this command, except
 498 for the \fB\-randkey\fP, \fB\-pw\fP, and \fB\-e\fP options.  In addition, the
 499 option \fB\-clearpolicy\fP will clear the current policy of a principal.
 500 .sp
 501 This command requires the \fImodify\fP privilege.
 502 .sp
 503 Alias: \fBmodprinc\fP
 504 .sp
 505 Options (in addition to the \fBaddprinc\fP options):
 506 .INDENT 0.0
 507 .TP
 508 .B \fB\-unlock\fP
 509 .sp
 510 Unlocks a locked principal (one which has received too many failed
 511 authentication attempts without enough time between them according
 512 to its password policy) so that it can successfully authenticate.
 513 .UNINDENT
 514 .SS rename_principal
 515 .INDENT 0.0
 516 .INDENT 3.5
 517 .sp
 518 \fBrename_principal\fP [\fB\-force\fP] \fIold_principal\fP \fInew_principal\fP
 519 .UNINDENT
 520 .UNINDENT
 521 .sp
 522 Renames the specified \fIold_principal\fP to \fInew_principal\fP.  This
 523 command prompts for confirmation, unless the \fB\-force\fP option is
 524 given.
 525 .sp
 526 This command requires the \fBadd\fP and \fBdelete\fP privileges.
 527 .sp
 528 Alias: \fBrenprinc\fP
 529 .SS delete_principal
 530 .INDENT 0.0
 531 .INDENT 3.5
 532 .sp
 533 \fBdelete_principal\fP [\fB\-force\fP] \fIprincipal\fP
 534 .UNINDENT
 535 .UNINDENT
 536 .sp
 537 Deletes the specified \fIprincipal\fP from the database.  This command
 538 prompts for deletion, unless the \fB\-force\fP option is given.
 539 .sp
 540 This command requires the \fBdelete\fP privilege.
 541 .sp
 542 Alias: \fBdelprinc\fP
 543 .SS change_password
 544 .INDENT 0.0
 545 .INDENT 3.5
 546 .sp
 547 \fBchange_password\fP [\fIoptions\fP] \fIprincipal\fP
 548 .UNINDENT
 549 .UNINDENT
 550 .sp
 551 Changes the password of \fIprincipal\fP.  Prompts for a new password if
 552 neither \fB\-randkey\fP or \fB\-pw\fP is specified.
 553 .sp
 554 This command requires the \fBchangepw\fP privilege, or that the
 555 principal running the program is the same as the principal being
 556 changed.
 557 .sp
 558 Alias: \fBcpw\fP
 559 .sp
 560 The following options are available:
 561 .INDENT 0.0
 562 .TP
 563 .B \fB\-randkey\fP
 564 .sp
 565 Sets the key of the principal to a random value
 566 .TP
 567 .B \fB\-pw\fP \fIpassword\fP
 568 .sp
 569 Set the password to the specified string.  Using this option in a
 570 script may expose the password to other users on the system via
 571 the process list.
 572 .TP
 573 .B \fB\-e\fP \fIenc\fP:\fIsalt\fP,...
 574 .sp
 575 Uses the specified list of enctype\-salttype pairs for setting the
 576 key of the principal.
 577 .TP
 578 .B \fB\-keepold\fP
 579 .sp
 580 Keeps the existing keys in the database.  This flag is usually not
 581 necessary except perhaps for \fBkrbtgt\fP principals.
 582 .UNINDENT
 583 .sp
 584 Example:
 585 .INDENT 0.0
 586 .INDENT 3.5
 587 .sp
 588 .nf
 589 .ft C
 590 kadmin: cpw systest
 591 Enter password for principal systest@BLEEP.COM:
 592 Re\-enter password for principal systest@BLEEP.COM:
 593 Password for systest@BLEEP.COM changed.
 594 kadmin:
 595 .ft P
 596 .fi
 597 .UNINDENT
 598 .UNINDENT
 599 .SS purgekeys
 600 .INDENT 0.0
 601 .INDENT 3.5
 602 .sp
 603 \fBpurgekeys\fP [\fB\-keepkvno\fP \fIoldest_kvno_to_keep\fP] \fIprincipal\fP
 604 .UNINDENT
 605 .UNINDENT
 606 .sp
 607 Purges previously retained old keys (e.g., from \fBchange_password
 608 \-keepold\fP) from \fIprincipal\fP.  If \fB\-keepkvno\fP is specified, then
 609 only purges keys with kvnos lower than \fIoldest_kvno_to_keep\fP.
 610 .sp
 611 This command requires the \fBmodify\fP privilege.
 612 .SS get_principal
 613 .INDENT 0.0
 614 .INDENT 3.5
 615 .sp
 616 \fBget_principal\fP [\fB\-terse\fP] \fIprincipal\fP
 617 .UNINDENT
 618 .UNINDENT
 619 .sp
 620 Gets the attributes of principal.  With the \fB\-terse\fP option, outputs
 621 fields as quoted tab\-separated strings.
 622 .sp
 623 This command requires the \fBinquire\fP privilege, or that the principal
 624 running the the program to be the same as the one being listed.
 625 .sp
 626 Alias: \fBgetprinc\fP
 627 .sp
 628 Examples:
 629 .INDENT 0.0
 630 .INDENT 3.5
 631 .sp
 632 .nf
 633 .ft C
 634 kadmin: getprinc tlyu/admin
 635 Principal: tlyu/admin@BLEEP.COM
 636 Expiration date: [never]
 637 Last password change: Mon Aug 12 14:16:47 EDT 1996
 638 Password expiration date: [none]
 639 Maximum ticket life: 0 days 10:00:00
 640 Maximum renewable life: 7 days 00:00:00
 641 Last modified: Mon Aug 12 14:16:47 EDT 1996 (bjaspan/admin@BLEEP.COM)
 642 Last successful authentication: [never]
 643 Last failed authentication: [never]
 644 Failed password attempts: 0
 645 Number of keys: 2
 646 Key: vno 1, DES cbc mode with CRC\-32, no salt
 647 Key: vno 1, DES cbc mode with CRC\-32, Version 4
 648 Attributes:
 649 Policy: [none]
 650
 651 kadmin: getprinc \-terse systest
 652 systest@BLEEP.COM   3    86400     604800    1
 653 785926535 753241234 785900000
 654 tlyu/admin@BLEEP.COM     786100034 0    0
 655 kadmin:
 656 .ft P
 657 .fi
 658 .UNINDENT
 659 .UNINDENT
 660 .SS list_principals
 661 .INDENT 0.0
 662 .INDENT 3.5
 663 .sp
 664 \fBlist_principals\fP [\fIexpression\fP]
 665 .UNINDENT
 666 .UNINDENT
 667 .sp
 668 Retrieves all or some principal names.  \fIexpression\fP is a shell\-style
 669 glob expression that can contain the wild\-card characters \fB?\fP,
 670 \fB*\fP, and \fB[]\fP.  All principal names matching the expression are
 671 printed.  If no expression is provided, all principal names are
 672 printed.  If the expression does not contain an \fB@\fP character, an
 673 \fB@\fP character followed by the local realm is appended to the
 674 expression.
 675 .sp
 676 This command requires the \fBlist\fP privilege.
 677 .sp
 678 Alias: \fBlistprincs\fP, \fBget_principals\fP, \fBget_princs\fP
 679 .sp
 680 Example:
 681 .INDENT 0.0
 682 .INDENT 3.5
 683 .sp
 684 .nf
 685 .ft C
 686 kadmin:  listprincs test*
 687 test3@SECURE\-TEST.OV.COM
 688 test2@SECURE\-TEST.OV.COM
 689 test1@SECURE\-TEST.OV.COM
 690 testuser@SECURE\-TEST.OV.COM
 691 kadmin:
 692 .ft P
 693 .fi
 694 .UNINDENT
 695 .UNINDENT
 696 .SS get_strings
 697 .INDENT 0.0
 698 .INDENT 3.5
 699 .sp
 700 \fBget_strings\fP \fIprincipal\fP
 701 .UNINDENT
 702 .UNINDENT
 703 .sp
 704 Displays string attributes on \fIprincipal\fP.  String attributes are used
 705 to supply per\-principal configuration to some KDC plugin modules.
 706 .sp
 707 This command requires the \fBinquire\fP privilege.
 708 .sp
 709 Alias: \fBgetstr\fP
 710 .SS set_string
 711 .INDENT 0.0
 712 .INDENT 3.5
 713 .sp
 714 \fBset_string\fP \fIprincipal\fP \fIkey\fP \fIvalue\fP
 715 .UNINDENT
 716 .UNINDENT
 717 .sp
 718 Sets a string attribute on \fIprincipal\fP.
 719 .sp
 720 This command requires the \fBmodify\fP privilege.
 721 .sp
 722 Alias: \fBsetstr\fP
 723 .SS del_string
 724 .INDENT 0.0
 725 .INDENT 3.5
 726 .sp
 727 \fBdel_string\fP \fIprincipal\fP \fIkey\fP
 728 .UNINDENT
 729 .UNINDENT
 730 .sp
 731 Deletes a string attribute from \fIprincipal\fP.
 732 .sp
 733 This command requires the \fBdelete\fP privilege.
 734 .sp
 735 Alias: \fBdelstr\fP
 736 .SS add_policy
 737 .INDENT 0.0
 738 .INDENT 3.5
 739 .sp
 740 \fBadd_policy\fP [\fIoptions\fP] \fIpolicy\fP
 741 .UNINDENT
 742 .UNINDENT
 743 .sp
 744 Adds a password policy named \fIpolicy\fP to the database.
 745 .sp
 746 This command requires the \fBadd\fP privilege.
 747 .sp
 748 Alias: \fBaddpol\fP
 749 .sp
 750 The following options are available:
 751 .INDENT 0.0
 752 .TP
 753 .B \fB\-maxlife\fP \fItime\fP
 754 .sp
 755 sets the maximum lifetime of a password
 756 .TP
 757 .B \fB\-minlife\fP \fItime\fP
 758 .sp
 759 sets the minimum lifetime of a password
 760 .TP
 761 .B \fB\-minlength\fP \fIlength\fP
 762 .sp
 763 sets the minimum length of a password
 764 .TP
 765 .B \fB\-minclasses\fP \fInumber\fP
 766 .sp
 767 sets the minimum number of character classes required in a
 768 password.  The five character classes are lower case, upper case,
 769 numbers, punctuation, and whitespace/unprintable characters.
 770 .TP
 771 .B \fB\-history\fP \fInumber\fP
 772 .sp
 773 sets the number of past keys kept for a principal.  This option is
 774 not supported with the LDAP KDC database module.
 775 .TP
 776 .B \fB\-maxfailure\fP \fImaxnumber\fP
 777 .sp
 778 sets the maximum number of authentication failures before the
 779 principal is locked.  Authentication failures are only tracked for
 780 principals which require preauthentication.
 781 .TP
 782 .B \fB\-failurecountinterval\fP \fIfailuretime\fP
 783 .sp
 784 sets the allowable time between authentication failures.  If an
 785 authentication failure happens after \fIfailuretime\fP has elapsed
 786 since the previous failure, the number of authentication failures
 787 is reset to 1.
 788 .TP
 789 .B \fB\-lockoutduration\fP \fIlockouttime\fP
 790 .sp
 791 sets the duration for which the principal is locked from
 792 authenticating if too many authentication failures occur without
 793 the specified failure count interval elapsing.  A duration of 0
 794 means forever.
 795 .UNINDENT
 796 .sp
 797 Example:
 798 .INDENT 0.0
 799 .INDENT 3.5
 800 .sp
 801 .nf
 802 .ft C
 803 kadmin: add_policy \-maxlife "2 days" \-minlength 5 guests
 804 kadmin:
 805 .ft P
 806 .fi
 807 .UNINDENT
 808 .UNINDENT
 809 .SS modify_policy
 810 .INDENT 0.0
 811 .INDENT 3.5
 812 .sp
 813 \fBmodify_policy\fP [\fIoptions\fP] \fIpolicy\fP
 814 .UNINDENT
 815 .UNINDENT
 816 .sp
 817 Modifies the password policy named \fIpolicy\fP.  Options are as described
 818 for \fBadd_policy\fP.
 819 .sp
 820 This command requires the \fBmodify\fP privilege.
 821 .sp
 822 Alias: \fBmodpol\fP
 823 .SS delete_policy
 824 .INDENT 0.0
 825 .INDENT 3.5
 826 .sp
 827 \fBdelete_policy\fP [\fB\-force\fP] \fIpolicy\fP
 828 .UNINDENT
 829 .UNINDENT
 830 .sp
 831 Deletes the password policy named \fIpolicy\fP.  Prompts for confirmation
 832 before deletion.  The command will fail if the policy is in use by any
 833 principals.
 834 .sp
 835 This command requires the \fBdelete\fP privilege.
 836 .sp
 837 Alias: \fBdelpol\fP
 838 .sp
 839 Example:
 840 .INDENT 0.0
 841 .INDENT 3.5
 842 .sp
 843 .nf
 844 .ft C
 845 kadmin: del_policy guests
 846 Are you sure you want to delete the policy "guests"?
 847 (yes/no): yes
 848 kadmin:
 849 .ft P
 850 .fi
 851 .UNINDENT
 852 .UNINDENT
 853 .SS get_policy
 854 .INDENT 0.0
 855 .INDENT 3.5
 856 .sp
 857 \fBget_policy\fP [ \fB\-terse\fP ] \fIpolicy\fP
 858 .UNINDENT
 859 .UNINDENT
 860 .sp
 861 Displays the values of the password policy named \fIpolicy\fP.  With the
 862 \fB\-terse\fP flag, outputs the fields as quoted strings separated by
 863 tabs.
 864 .sp
 865 This command requires the \fBinquire\fP privilege.
 866 .sp
 867 Alias: getpol
 868 .sp
 869 Examples:
 870 .INDENT 0.0
 871 .INDENT 3.5
 872 .sp
 873 .nf
 874 .ft C
 875 kadmin: get_policy admin
 876 Policy: admin
 877 Maximum password life: 180 days 00:00:00
 878 Minimum password life: 00:00:00
 879 Minimum password length: 6
 880 Minimum number of password character classes: 2
 881 Number of old keys kept: 5
 882 Reference count: 17
 883
 884 kadmin: get_policy \-terse admin
 885 admin     15552000  0    6    2    5    17
 886 kadmin:
 887 .ft P
 888 .fi
 889 .UNINDENT
 890 .UNINDENT
 891 .sp
 892 The "Reference count" is the number of principals using that policy.
 893 With the LDAP KDC database module, the reference count field is not
 894 meaningful.
 895 .SS list_policies
 896 .INDENT 0.0
 897 .INDENT 3.5
 898 .sp
 899 \fBlist_policies\fP [\fIexpression\fP]
 900 .UNINDENT
 901 .UNINDENT
 902 .sp
 903 Retrieves all or some policy names.  \fIexpression\fP is a shell\-style
 904 glob expression that can contain the wild\-card characters \fB?\fP,
 905 \fB*\fP, and \fB[]\fP.  All policy names matching the expression are
 906 printed.  If no expression is provided, all existing policy names are
 907 printed.
 908 .sp
 909 This command requires the \fBlist\fP privilege.
 910 .sp
 911 Aliases: \fBlistpols\fP, \fBget_policies\fP, \fBgetpols\fP.
 912 .sp
 913 Examples:
 914 .INDENT 0.0
 915 .INDENT 3.5
 916 .sp
 917 .nf
 918 .ft C
 919 kadmin:  listpols
 920 test\-pol
 921 dict\-only
 922 once\-a\-min
 923 test\-pol\-nopw
 924
 925 kadmin:  listpols t*
 926 test\-pol
 927 test\-pol\-nopw
 928 kadmin:
 929 .ft P
 930 .fi
 931 .UNINDENT
 932 .UNINDENT
 933 .SS ktadd
 934 .INDENT 0.0
 935 .INDENT 3.5
 936 .sp
 937 \fBktadd\fP [[\fIprincipal\fP|\fB\-glob\fP \fIprinc\-exp\fP]
 938 .UNINDENT
 939 .UNINDENT
 940 .sp
 941 Adds a \fIprincipal\fP, or all principals matching \fIprinc\-exp\fP, to a
 942 keytab file.  Each principal\(aqs keys are randomized in the process.
 943 The rules for \fIprinc\-exp\fP are described in the \fBlist_principals\fP
 944 command.
 945 .sp
 946 This command requires the \fBinquire\fP and \fBchangepw\fP privileges.
 947 With the \fB\-glob\fP option, it also requires the \fBlist\fP privilege.
 948 .sp
 949 The options are:
 950 .INDENT 0.0
 951 .TP
 952 .B \fB\-k[eytab]\fP \fIkeytab\fP
 953 .sp
 954 Use \fIkeytab\fP as the keytab file.  Otherwise, the default keytab is
 955 used.
 956 .TP
 957 .B \fB\-e\fP \fIenc\fP:\fIsalt\fP,...
 958 .sp
 959 Use the specified list of enctype\-salttype pairs for setting the
 960 new keys of the principal.
 961 .TP
 962 .B \fB\-q\fP
 963 .sp
 964 Display less verbose information.
 965 .TP
 966 .B \fB\-norandkey\fP
 967 .sp
 968 Do not randomize the keys. The keys and their version numbers stay
 969 unchanged.  This option is only available in kadmin.local, and
 970 cannot be specified in combination with the \fB\-e\fP option.
 971 .UNINDENT
 972 .sp
 973 An entry for each of the principal\(aqs unique encryption types is added,
 974 ignoring multiple keys with the same encryption type but different
 975 salt types.
 976 .sp
 977 Example:
 978 .INDENT 0.0
 979 .INDENT 3.5
 980 .sp
 981 .nf
 982 .ft C
 983 kadmin: ktadd \-k /tmp/foo\-new\-keytab host/foo.mit.edu
 984 Entry for principal host/foo.mit.edu@ATHENA.MIT.EDU with kvno 3,
 985      encryption type aes256\-cts\-hmac\-sha1\-96 added to keytab
 986      FILE:/tmp/foo\-new\-keytab
 987 kadmin:
 988 .ft P
 989 .fi
 990 .UNINDENT
 991 .UNINDENT
 992 .SS ktremove
 993 .INDENT 0.0
 994 .INDENT 3.5
 995 .sp
 996 \fBktremove\fP \fIprincipal\fP [\fIkvno\fP|\fIall\fP| \fIold\fP]
 997 .UNINDENT
 998 .UNINDENT
 999 .sp
1000 Removes entries for the specified \fIprincipal\fP from a keytab.  Requires
1001 no permissions, since this does not require database access.
1002 .sp
1003 If the string "all" is specified, all entries for that principal are
1004 removed; if the string "old" is specified, all entries for that
1005 principal except those with the highest kvno are removed.  Otherwise,
1006 the value specified is parsed as an integer, and all entries whose
1007 kvno match that integer are removed.
1008 .sp
1009 The options are:
1010 .INDENT 0.0
1011 .TP
1012 .B \fB\-k[eytab]\fP \fIkeytab\fP
1013 .sp
1014 Use \fIkeytab\fP as the keytab file.  Otherwise, the default keytab is
1015 used.
1016 .TP
1017 .B \fB\-q\fP
1018 .sp
1019 Display less verbose information.
1020 .UNINDENT
1021 .sp
1022 Example:
1023 .INDENT 0.0
1024 .INDENT 3.5
1025 .sp
1026 .nf
1027 .ft C
1028 kadmin: ktremove kadmin/admin all
1029 Entry for principal kadmin/admin with kvno 3 removed from keytab
1030      FILE:/etc/krb5.keytab
1031 kadmin:
1032 .ft P
1033 .fi
1034 .UNINDENT
1035 .UNINDENT
1036 .SS lock
1037 .sp
1038 Lock database exclusively.  Use with extreme caution!  This command
1039 only works with the DB2 KDC database module.
1040 .SS unlock
1041 .sp
1042 Release the exclusive database lock.
1043 .SS list_requests
1044 .sp
1045 Lists available for kadmin requests.
1046 .sp
1047 Aliases: \fBlr\fP, \fB?\fP
1048 .SS quit
1049 .sp
1050 Exit program.  If the database was locked, the lock is released.
1051 .sp
1052 Aliases: \fBexit\fP, \fBq\fP
1053 .SH HISTORY
1054 .sp
1055 The kadmin program was originally written by Tom Yu at MIT, as an
1056 interface to the OpenVision Kerberos administration program.
1057 .SH SEE ALSO
1058 .sp
1059 \fIkpasswd(1)\fP, \fIkadmind(8)\fP
1060 .SH AUTHOR
1061 MIT
1062 .SH COPYRIGHT
1063 2011, MIT
1064 .\" Generated by docutils manpage writer.
1065 .