Настройка Kerberos master-slave: распространение базы данных и переключение KDC и KADMIN

Я пытаюсь настроить Kerberos на Redhat с ведомыми устройствами и распространением базы данных (не инкрементным). Я просматриваю документацию MIT по установке и настройке KDC. . В настоящее время у меня есть три сомнения/проблемы:

1. #P2# #P3#

   kprop: Connection refused while connecting to server
   

   #P4# #P5#

   #P6#

   #P7# #P8#

   krb5_prop stream tcp nowait root /usr/sbin/kpropd kpropd
   

2. Нужно ли нам добавить сервер администрирования Kerberos (admin_server) для подчиненного KDC в krb5.conf? ИЛИ Другими словами, можем ли мы настроить более одного свойства admin_server в krb5.conf?

   Поскольку мы настраиваем установку ведущий-подчиненный и можем переключиться на подчиненный KDC, создав его новым ведущим в любой момент времени. Нам также потребуется запустить сервер администрирования Kerberos (kadmind) на новом мастере. Нужно ли нам иметь хосты для обоих серверов администрирования, перечисленных в файле krb5.conf?

   Я попытался добавить оба хоста, но оказалось, что это свойство выбирает только последний настроенный.

   Мой krb5.conf выглядит так:

   [libdefaults]
   default_realm = KRB.MY.DOMAIN
   dns_lookup_realm = false
   dns_lookup_kdc = false
   ticket_lifetime = 1h
   renew_lifetime = 2h
   forwardable = true
   
   [realms]
   KRB.MY.DOMAIN = {
   kdc = old-master-host.my.domain
   kdc = new-master-host.my.domain
   admin_server = old-master-host.my.domain
   admin_server = new-master-host.my.domain
   }
   
   [domain_realm]
   .my.domain = KRB.MY.DOMAIN
   

   В таком случае сервер администратора будет просматриваться только на new-master-host.my.domain, даже если он запущен на old-master-host.my.domain.

3. Можем ли мы запустить сервер администрирования Kerberos на подчиненном компьютере KDC, как указано в документация MIT?

   Я попытался запустить сервер администрирования Kerberos (kadmind) на моем новом мастере и получил ошибку:

   Error. This appears to be a slave server, found kpropd.acl
   

   Не рекомендуется ли запускать Сервер администрирования на подчиненной машине или нам нужно [пере]переместить файл kpropd.acl, прежде чем мы сможем запустить Сервер администрирования?

Я был бы очень признателен за любые указатели или помощь.