3

我有一个服务器进程在机器 KERBOS.COM 上运行，它试图连接到 IN.KERBOS.COM(Sub Realm) 中的 LDAP 服务器以使用 GSSAPI 机制同步用户。

通过查看 GSSLOGS，我们可以看到
它尝试进行身份验证的 spn 属于 KERBOS.COM ldap/invr28ppqa36.in.kerbos.com@KERBOS.COM 这是让它选择 IN.KERBOS.COM 作为领域的任何方式。

默认领域必须是 krb5.conf 中的 KERBOS.COM。因此，将默认领域更改为 IN.KERBOS.COM 不是一种选择。

我还给了它完全限定的名称，所以应该有某种方法告诉它使用 IN.KERBOS.COM 作为领域。

env.put(Context.PROVIDER_URL, String.format("ldap://%s:%d", host, port));

Subject subject = new Subject();
subject.getPrivateCredentials().add(credential);
InitialLdapContext object  = Subject.doAs(subject, new PrivilegedExceptionAction<InitialLdapContext>() {   
  public InitialLdapContext run() throws Exception {                                
    env.put(Context.SECURITY_AUTHENTICATION, "GSSAPI");
    return new InitialLdapContext(env, null);
} });

日志

Subject.doAs fails by throwing an exception (Intercept from Logs are given)
Found ticket for **sysadmin@IN.KERBOS.COM to go to krbtgt/IN.KERBOS.COM@IN.KERBOS.COM**  Credentials acquireServiceCreds: obtaining service creds for **ldap/invr28ppqa36.in.kerbos.com@KERBOS.COM**
Using builtin default etypes for default_tgs_enctypes
default etypes for default_tgs_enctypes: 17 16 23 1 3.
KrbException: Fail to create credential. (63) - No service creds
    at sun.security.krb5.internal.CredentialsUtil.acquireServiceCreds(CredentialsUtil.java:301)
    at sun.security.krb5.Credentials.acquireServiceCreds(Credentials.java:442)
    at sun.security.jgss.krb5.Krb5Context.initSecContext(Krb5Context.java:641)
    at sun.security.jgss.GSSContextImpl.initSecContext(GSSContextImpl.java:248)
    at sun.security.jgss.GSSContextImpl.initSecContext(GSSContextImpl.java:179)
    at com.sun.security.sasl.gsskerb.GssKrb5Client.evaluateChallenge(GssKrb5Client.java:193)
    at com.sun.jndi.ldap.sasl.LdapSasl.saslBind(LdapSasl.java:123)
    at com.sun.jndi.ldap.LdapClient.authenticate(LdapClient.java:232)
    at com.sun.jndi.ldap.LdapCtx.connect(LdapCtx.java:2740)
    at com.sun.jndi.ldap.LdapCtx.<init>(LdapCtx.java:316)
    at com.sun.jndi.ldap.LdapCtxFactory.getUsingURL(LdapCtxFactory.java:193)
    at com.sun.jndi.ldap.LdapCtxFactory.getUsingURLs(LdapCtxFactory.java:211)
    at com.sun.jndi.ldap.LdapCtxFactory.getLdapCtxInstance(LdapCtxFactory.java:154)
    at com.sun.jndi.ldap.LdapCtxFactory.getInitialContext(LdapCtxFactory.java:84)
    at javax.naming.spi.NamingManager.getInitialContext(NamingManager.java:684)
    at javax.naming.InitialContext.getDefaultInitCtx(InitialContext.java:307)
    at javax.naming.InitialContext.init(InitialContext.java:242)
    at javax.naming.ldap.InitialLdapContext.<init>(InitialLdapContext.java:153)
    at (LDAPConnector.java:101)
4

1 回答 1

2

默认情况下，Kerberos 实现将从客户端领域的 KDC 开始，希望 KDC 可以提供对服务领域的跨领域引用。因此，您在EXAMPLE.COM 中有一张票，您将前往一个名为server.subdomain.example.com 的主机。您的客户应该转到EXAMPLE.COM KDC。那个 KDC 可以说它知道如何给你一张服务票，或者可以给你一张特别的推荐票，让你更接近服务；在此示例中，您可能希望它为您提供 krbtgt/SUBDOMAIN.EXAMPLE.COM@EXAMPLE.COM 领域。这会告诉您的客户转到 subdomain.example.com KDC。

显然，您的 KERBOS.COM KDC 不知道您的 LDAP 服务器由 IN.KERBOS.COM 领域提供服务。解决问题的一种方法是修复 KDC。这将取决于您拥有的 KDC 软件。或者，您可以编辑您的 krb5.conf 并告诉您的客户 in.kerbos.com 下的所有内容都由 IN.KERBOS.COM KDC 提供。将如下部分添加到您的 krb5.conf 中：

[domain_realm]
.in.kerbos.com = IN.KERBOS.COM

将此视为讨论 krb5.conf 的示例，包括 Java 中的domain_realm部分。请参阅RFC 6806以了解有关引用应如何工作的技术细节。

于 2013-11-19T02:06:43.310 回答