x
[heimdal.git] / kadmin / kadmin.8
blob6b78afd60dc044207201d2c44b1cc3f18284cb37
1 .\" Copyright (c) 2000 - 2007 Kungliga Tekniska Högskolan
2 .\" (Royal Institute of Technology, Stockholm, Sweden).
3 .\" All rights reserved.
4 .\"
5 .\" Redistribution and use in source and binary forms, with or without
6 .\" modification, are permitted provided that the following conditions
7 .\" are met:
8 .\"
9 .\" 1. Redistributions of source code must retain the above copyright
10 .\"    notice, this list of conditions and the following disclaimer.
11 .\"
12 .\" 2. Redistributions in binary form must reproduce the above copyright
13 .\"    notice, this list of conditions and the following disclaimer in the
14 .\"    documentation and/or other materials provided with the distribution.
15 .\"
16 .\" 3. Neither the name of the Institute nor the names of its contributors
17 .\"    may be used to endorse or promote products derived from this software
18 .\"    without specific prior written permission.
19 .\"
20 .\" THIS SOFTWARE IS PROVIDED BY THE INSTITUTE AND CONTRIBUTORS ``AS IS'' AND
21 .\" ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
22 .\" IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
23 .\" ARE DISCLAIMED.  IN NO EVENT SHALL THE INSTITUTE OR CONTRIBUTORS BE LIABLE
24 .\" FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
25 .\" DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
26 .\" OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
27 .\" HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
28 .\" LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
29 .\" OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
30 .\" SUCH DAMAGE.
31 .\"
32 .\" $Id$
33 .\"
34 .Dd Feb  22, 2007
35 .Dt KADMIN 8
36 .Os HEIMDAL
37 .Sh NAME
38 .Nm kadmin
39 .Nd Kerberos administration utility
40 .Sh SYNOPSIS
41 .Nm
42 .Bk -words
43 .Oo Fl p Ar string \*(Ba Xo
44 .Fl -principal= Ns Ar string
45 .Xc
46 .Oc
47 .Oo Fl K Ar string \*(Ba Xo
48 .Fl -keytab= Ns Ar string
49 .Xc
50 .Oc
51 .Oo Fl c Ar file \*(Ba Xo
52 .Fl -config-file= Ns Ar file
53 .Xc
54 .Oc
55 .Oo Fl k Ar file \*(Ba Xo
56 .Fl -key-file= Ns Ar file
57 .Xc
58 .Oc
59 .Oo Fl r Ar realm \*(Ba Xo
60 .Fl -realm= Ns Ar realm
61 .Xc
62 .Oc
63 .Oo Fl a Ar host \*(Ba Xo
64 .Fl -admin-server= Ns Ar host
65 .Xc
66 .Oc
67 .Oo Fl s Ar port number \*(Ba Xo
68 .Fl -server-port= Ns Ar port number
69 .Xc
70 .Oc
71 .Op Fl l | Fl -local
72 .Op Fl h | Fl -help
73 .Op Fl v | Fl -version
74 .Op Ar command
75 .Ek
76 .Sh DESCRIPTION
77 The
78 .Nm
79 program is used to make modifications to the Kerberos database, either remotely via the
80 .Xr kadmind 8
81 daemon, or locally (with the
82 .Fl l
83 option).
84 .Pp
85 Supported options:
86 .Bl -tag -width Ds
87 .It Xo
88 .Fl p Ar string ,
89 .Fl -principal= Ns Ar string
90 .Xc
91 principal to authenticate as
92 .It Xo
93 .Fl K Ar string ,
94 .Fl -keytab= Ns Ar string
95 .Xc
96 keytab for authentication principal
97 .It Xo
98 .Fl c Ar file ,
99 .Fl -config-file= Ns Ar file
101 location of config file
102 .It Xo
103 .Fl k Ar file ,
104 .Fl -key-file= Ns Ar file
106 location of master key file
107 .It Xo
108 .Fl r Ar realm ,
109 .Fl -realm= Ns Ar realm
111 realm to use
112 .It Xo
113 .Fl a Ar host ,
114 .Fl -admin-server= Ns Ar host
116 server to contact
117 .It Xo
118 .Fl s Ar port number ,
119 .Fl -server-port= Ns Ar port number
121 port to use
122 .It Xo
123 .Fl l ,
124 .Fl -local
126 local admin mode
129 If no
130 .Ar command
131 is given on the command line,
133 will prompt for commands to process. Some of the commands that take
134 one or more principals as argument
135 .Ns ( Nm delete ,
136 .Nm ext_keytab ,
137 .Nm get ,
138 .Nm modify ,
140 .Nm passwd )
141 will accept a glob style wildcard, and perform the operation on all
142 matching principals.
144 Commands include:
145 .\" not using a list here, since groff apparently gets confused
146 .\" with nested Xo/Xc
147 .Bd -ragged -offset indent
148 .Nm add
149 .Op Fl r | Fl -random-key
150 .Op Fl -random-password
151 .Oo Fl p Ar string \*(Ba Xo
152 .Fl -password= Ns Ar string
155 .Op Fl -key= Ns Ar string
156 .Op Fl -max-ticket-life= Ns Ar lifetime
157 .Op Fl -max-renewable-life= Ns Ar lifetime
158 .Op Fl -attributes= Ns Ar attributes
159 .Op Fl -expiration-time= Ns Ar time
160 .Op Fl -pw-expiration-time= Ns Ar time
161 .Ar principal...
163 .Bd -ragged -offset indent
164 Adds a new principal to the database. The options not passed on the
165 command line will be promped for.
168 .Nm add_enctype
169 .Op Fl r | Fl -random-key
170 .Ar principal enctypes...
172 .Bd -ragged -offset indent
173 Adds a new encryption type to the principal, only random key are
174 supported.
177 .Nm delete
178 .Ar principal...
180 .Bd -ragged -offset indent
181 Removes a principal.
184 .Nm del_enctype
185 .Ar principal enctypes...
187 .Bd -ragged -offset indent
188 Removes some enctypes from a principal; this can be useful if the
189 service belonging to the principal is known to not handle certain
190 enctypes.
193 .Nm ext_keytab
194 .Oo Fl k Ar string \*(Ba Xo
195 .Fl -keytab= Ns Ar string
198 .Ar principal...
200 .Bd -ragged -offset indent
201 Creates a keytab with the keys of the specified principals.
204 .Nm get
205 .Op Fl l | Fl -long
206 .Op Fl s | Fl -short
207 .Op Fl t | Fl -terse
208 .Op Fl o Ar string | Fl -column-info= Ns Ar string
209 .Ar principal...
211 .Bd -ragged -offset indent
212 Lists the matching principals, short prints the result as a table,
213 while long format produces a more verbose output. Which columns to
214 print can be selected with the
215 .Fl o
216 option. The argument is a comma separated list of column names
217 optionally appended with an equal sign
218 .Pq Sq =
219 and a column header. Which columns are printed by default differ
220 slightly between short and long output.
222 The default terse output format is similar to
223 .Fl s o Ar principal= ,
224 just printing the names of matched principals.
226 Possible column names include:
227 .Li principal ,
228 .Li princ_expire_time ,
229 .Li pw_expiration ,
230 .Li last_pwd_change ,
231 .Li max_life ,
232 .Li max_rlife ,
233 .Li mod_time ,
234 .Li mod_name ,
235 .Li attributes ,
236 .Li kvno ,
237 .Li mkvno ,
238 .Li last_success ,
239 .Li last_failed ,
240 .Li fail_auth_count ,
241 .Li policy ,
243 .Li keytypes .
246 .Nm modify
247 .Oo Fl a Ar attributes \*(Ba Xo
248 .Fl -attributes= Ns Ar attributes
251 .Op Fl -max-ticket-life= Ns Ar lifetime
252 .Op Fl -max-renewable-life= Ns Ar lifetime
253 .Op Fl -expiration-time= Ns Ar time
254 .Op Fl -pw-expiration-time= Ns Ar time
255 .Op Fl -kvno= Ns Ar number
256 .Ar principal...
258 .Bd -ragged -offset indent
259 Modifies certain attributes of a principal. If run without command
260 line options, you will be prompted. With command line options, it will
261 only change the ones specified.
263 Possible attributes are:
264 .Li new-princ ,
265 .Li support-desmd5 ,
266 .Li pwchange-service ,
267 .Li disallow-svr ,
268 .Li requires-pw-change ,
269 .Li requires-hw-auth ,
270 .Li requires-pre-auth ,
271 .Li disallow-all-tix ,
272 .Li disallow-dup-skey ,
273 .Li disallow-proxiable ,
274 .Li disallow-renewable ,
275 .Li disallow-tgt-based ,
276 .Li disallow-forwardable ,
277 .Li disallow-postdated
279 Attributes may be negated with a "-", e.g., 
280 .Pp 
281 kadmin -l modify -a -disallow-proxiable user
284 .Nm passwd
285 .Op Fl r | Fl -random-key
286 .Op Fl -random-password
287 .Oo Fl p Ar string \*(Ba Xo
288 .Fl -password= Ns Ar string
291 .Op Fl -key= Ns Ar string
292 .Ar principal...
294 .Bd -ragged -offset indent
295 Changes the password of an existing principal.
298 .Nm password-quality
299 .Ar principal
300 .Ar password
302 .Bd -ragged -offset indent
303 Run the password quality check function locally.
304 You can run this on the host that is configured to run the kadmind
305 process to verify that your configuration file is correct.
306 The verification is done locally, if kadmin is run in remote mode,
307 no rpc call is done to the server.
310 .Nm privileges
312 .Bd -ragged -offset indent
313 Lists the operations you are allowed to perform. These include
314 .Li add ,
315 .Li add_enctype ,
316 .Li change-password ,
317 .Li delete ,
318 .Li del_enctype ,
319 .Li get ,
320 .Li list ,
322 .Li modify .
325 .Nm rename
326 .Ar from to
328 .Bd -ragged -offset indent
329 Renames a principal. This is normally transparent, but since keys are
330 salted with the principal name, they will have a non-standard salt,
331 and clients which are unable to cope with this will fail. Kerberos 4
332 suffers from this.
335 .Nm check
336 .Op Ar realm
338 .Bd -ragged -offset indent
339 Check database for strange configurations on important principals. If
340 no realm is given, the default realm is used.
345 When running in local mode, the following commands can also be used:
346 .Bd -ragged -offset indent
347 .Nm dump
348 .Op Fl d | Fl -decrypt
349 .Op Ar dump-file
351 .Bd -ragged -offset indent
352 Writes the database in
353 .Dq human readable
354 form to the specified file, or standard out. If the database is
355 encrypted, the dump will also have encrypted keys, unless
356 .Fl -decrypt
357 is used.
360 .Nm init
361 .Op Fl -realm-max-ticket-life= Ns Ar string
362 .Op Fl -realm-max-renewable-life= Ns Ar string
363 .Ar realm
365 .Bd -ragged -offset indent
366 Initializes the Kerberos database with entries for a new realm. It's
367 possible to have more than one realm served by one server.
370 .Nm load
371 .Ar file
373 .Bd -ragged -offset indent
374 Reads a previously dumped database, and re-creates that database from
375 scratch.
378 .Nm merge
379 .Ar file
381 .Bd -ragged -offset indent
382 Similar to
383 .Nm load
384 but just modifies the database with the entries in the dump file.
387 .Nm stash
388 .Oo Fl e Ar enctype \*(Ba Xo
389 .Fl -enctype= Ns Ar enctype
392 .Oo Fl k Ar keyfile \*(Ba Xo
393 .Fl -key-file= Ns Ar keyfile
396 .Op Fl -convert-file
397 .Op Fl -master-key-fd= Ns Ar fd
399 .Bd -ragged -offset indent
400 Writes the Kerberos master key to a file used by the KDC.
404 .\".Sh ENVIRONMENT
405 .\".Sh FILES
406 .\".Sh EXAMPLES
407 .\".Sh DIAGNOSTICS
408 .Sh SEE ALSO
409 .Xr kadmind 8 ,
410 .Xr kdc 8
411 .\".Sh STANDARDS
412 .\".Sh HISTORY
413 .\".Sh AUTHORS
414 .\".Sh BUGS