为什么我会获得没有领域的重复 Kerberos 服务票证？

Question

在什么情况下我会获得看似有效的服务票，但却是重复的和没有关联领域的？也就是说，这是否表明某处存在错误配置？它是否代表了一种有趣的能力或机会？...效率低下还是漏洞？

例如，如果我kinit成功获取我的 TGT，通过 SSH 连接到使用 Kerberos 的主机，然后运行klist，我会看到这个（已清理的）输出：

Ticket cache: KCM:503
Default principal: [email protected]

Valid starting       Expires              Service principal
01/24/2016 18:17:40  01/25/2016 04:17:40  krbtgt/[email protected]
    renew until 01/25/2016 18:17:33
01/24/2016 18:17:45  01/25/2016 04:17:40  host/foo.example.com@
    renew until 01/25/2016 18:17:33
01/24/2016 18:17:45  01/25/2016 04:17:40  host/[email protected]
    renew until 01/25/2016 18:17:33

host/foo.example.com@我同时拥有和服务票，这是什么意思？host/[email protected]

我正在运行 OS X Yosemite 10.10.5，并使用 kerberos5 1.13.2_2 端口和来自 MacPorts 2.3.4 的 openssh 7.1p2_0+kerberos5+ldns+xauth 端口。我的（已清理）/etc/krb5.conf具有：

[libdefaults]
    default_realm = EXAMPLE.COM
[realms]
    EXAMPLE.COM = {
        admin_server = kerberos.example.com
    }