Kerberos GSSAPI AD 身份验证失败

Question

我在 centos 8 上有一个 apache httpserver。我必须使用 kerberos module 保护特定位置并且我正在使用 GSSAPI mod.

我已经配置了 kerberos 客户端并且 kinit 测试似乎正常:

[root@test etc]# kinit -V
Using principal: HTTPS/test.com@MIODOMINIO.IT
Password for HTTPS/test.com@MIODOMINIO.IT:
Authenticated to Kerberos v5
[root@test etc]#

我需要域 pc 上的浏览器可以访问我的受保护资源而无需询问凭据。我以这种方式在 apache 中设置 GSSAPI module：

<Location /kerb>
    AuthType GSSAPI
    AuthName "GSSAPI Single Sign On Login"
    GssapiSSLonly On
    GssapiAllowedMech krb5
    GssapiCredStore keytab:/etc/kerberosx2.keytab
    BrowserMatch Windows gssapi-no-negotiate
    GssapiLocalName On
    GssapiBasicAuth Off
    Require valid-user
</Location>

但是当我在浏览器（Internet Explorer）中请求 apache 日志中的资源时，我遇到了这个错误：

[Fri Dec 18 12:32:10.276925 2020] [auth_gssapi:debug] [pid 11188:tid 139970006206208] mod_auth_gssapi.c(895): [client 192.168.1.174:53678] URI: /kerb/kerb.html, no main, no prev [Fri Dec 18 12:32:10.276932 2020] [auth_gssapi:info] [pid 11188:tid 139970006206208] [client
192.168.1.174:53678] NO AUTH DATA Client did not send any authentication headers

我已将该站点放入 Internet Explorer 的本地安全站点，就像我在网上找到的一样，但没有结果。

有什么想法吗？似乎浏览器即使在域中也不会发送身份验证 headers.

谢谢！

Answer 1

感谢大家，我已经在一个干净的环境中重新配置，现在它可以工作了。我已经用 gssapi-mod 和 apache 的旧 kerb-mod 测试了它。

可能有一些配置错误。

谢谢

Kerberos GSSAPI AD 身份验证失败

Kerberos GSSAPI AD Authentication fails

kerberos

active-directory

gssapi