为什么我不能使用 SPN 执行 kinit？

Question

我正在关注此 tutorial 为 Web 应用程序设置 Apache Directory Studio 以开发和测试 kerberos 身份验证（使用 spnego）。我设置了 ldap 和票证授予服务以及一些基本用户帐户。我可以对用户帐户执行 kinit，所以我知道这部分工作正常。

因此，当前的日志表明它无法解密票证。我尝试将 keytab 文件与 kinit 一起使用，但它不起作用，所以我只是尝试执行 kinit 并手动输入密码 - 这也不起作用（即使在 Apache Directory Studio 中验证密码正确之后） .这是我用于创建 spn 的 ldif 文件：

dn: uid=HTTP/example.com,ou=users,dc=security,dc=example,dc=com
objectClass: top
objectClass: krb5KDCEntry
objectClass: inetOrgPerson
objectClass: krb5Principal
objectClass: person
objectClass: organizationalPerson
cn: HTTP/example.com
krb5KeyVersionNumber: 1
krb5PrincipalName: HTTP/example.com@EXAMPLE.COM
sn: Something
uid: HTTP/example.com
userPassword: secret

每当我执行 kinit -V HTTP/example.com 并输入密码时，我只会得到：

HTTP/example.com@EXAMPLE.COM's Password: 
kinit: Password incorrect

这是我的 krb5.conf:

[libdefaults]
debug = true
default_realm = EXAMPLE.COM

[realms]
EXAMPLE.COM = {
    kdc = example.com:60088
    admin_server = example.com:60088
    default_domain = EXAMPLE.COM
}

[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM

Answer 1

因此，显然您无法设置与默认领域相同的 SPN。我必须创建一个子域 (myapp.example.com) 并导入关联的新 ldif 文件：

dn: uid=HTTP/myapp.example.com,ou=users,dc=security,dc=example,dc=com
objectClass: top
objectClass: krb5KDCEntry
objectClass: inetOrgPerson
objectClass: krb5Principal
objectClass: person
objectClass: organizationalPerson
cn: HTTP/myapp.example.com
krb5KeyVersionNumber: 1
krb5PrincipalName: HTTP/myapp.example.com@EXAMPLE.COM
sn: myapp
uid: HTTP/myapp.example.com
userPassword: secret

在那之后，我可以使用 HTTP/myapp.example.com 进行 kinit。然后我能够设置一个密钥表并将其加载到我的网络服务器中并让 SSO 工作！

为什么我不能使用 SPN 执行 kinit？

Why can't I do a kinit with an SPN?

kerberos

spnego

apacheds

gssapi

keytab