kerberos-adm 是什么
749 是 Kerberos 管理服务 kadmind 的端口：kadmin 客户端通过它执行创建主体、导出密钥、修改口令与策略等管理操作。Kerberos 域里的主机与用户口令、服务密钥都围绕 kadmin 维护，因此这个端口属于域管理面。口令修改另有专用服务：464 上的 kpasswd，与 749 职责分开。
基本信息
| 服务 | kerberos-adm（kadmind） |
|---|---|
| 协议 | TCP/UDP 749 |
| 规范 | RFC 4120（Kerberos V5） |
| 相邻端口 | 88 认证、464 kpasswd、754 kprop 数据库同步 |
| 安全等级 | 仅 KDC 管理网段 |
典型使用场景
- 创建与维护主体：addprinc、delprinc、modprinc 等日常运维操作
- 导出密钥表：用 ktadd 为服务或主机生成 keytab 文件
- 口令与策略管理：修改口令寿命、票据有效期等策略参数
- 排障：kadmin 连不上时确认 kadmind 是否运行、749 是否放行、DNS 是否解析到正确的 KDC
- 合规检查：核对 kadm5.acl 授权范围，确认没有过宽的委托
常用管理与核对命令
常用管理与核对命令
kadmin -p admin/admin # 经 749 连接 kadmind
kadmin.local -q 'listprincs' # 在 KDC 本机直接操作，无需口令
kadmin -q 'addprinc -randkey host/server1.example.com'
kadmin -q 'ktadd -k /etc/krb5.keytab host/server1.example.com'
systemctl status krb5-kadmin # 服务状态（发行版包名可能不同）
klist # 查看当前票据Kerberos 相关端口
| 端口 | 服务 | 作用 |
|---|---|---|
| 88 | krb5（kdc） | 认证与票据签发 |
| 464 | kpasswd | 用户修改口令 |
| 749 | kerberos-adm | kadmind 管理操作 |
| 754 | kprop | 数据库向从库同步 |
| 88/udp | krb5 | 部分客户端与服务仍用 UDP |
管理端口即域管理面：暴露到业务网或公网后，异常主体与密钥变更很难被察觉。管理操作应限定在 KDC 本机或跳板机上执行，并对 kadm5.acl 的授权逐条收敛。
排障要点：kadmin 报连接失败时，先确认 KDC 名称解析与 88 端口正常，再看 749；若只有 kadmin 失败而认证正常，通常问题出在防火墙放行范围或 kadmind 服务本身，而不是 Kerberos 配置。
巡检与加固要点
- kadmind 只允许 KDC 本机与跳板机访问，其余来源一律拒绝
- kadm5.acl 按最小权限逐条授权，避免使用通配规则
- 主体清单定期与人事系统核对，清理离职人员与闲置服务主体
- keytab 文件权限按服务账号最小化，避免被普通用户读取
备份提醒：Kerberos 数据库与主密钥的备份要分开保管，恢复演练应包含从库同步流程；只备份数据库而未验证主密钥可用，故障时往往恢复不起来。