☰

使用多个 SPN 从 AD 文件创建 Kerberos 密钥表

tag-icon • tag-icon linux active-directory kerberos
使用多个 SPN 从 AD 文件创建 Kerberos 密钥表

我需要从具有三个不同 SPN 的 Active Directory 创建 Kerberos 密钥表文件。

使用以下方式添加不同的 SPN 是没有问题的

setspn -a

但是当我尝试使用创建密钥表文件时

ktpass

只有给定的 SPN 才会保存到 keytab 文件中。

如何创建一个将所有 SPN 映射到 AD 帐户的 keytab 文件？

答案1

您不能创建包含ktpass所有主体密钥的密钥表。

您必须逐个导出它们ktpass并将它们合并ktutil（在 Linux 上）。还有其他方法或工具可以实现同样的目的，但是此程序在我的计算机上运行。

答案2

实际上，通过在附加到文件时ktpass同时指定/in和参数，您可以使用将多个密钥添加到单个密钥表文件。第一个命令（创建 .keytab 文件）应该仅指定，但对于所有后续添加，您都指定和，两者都指向同一个文件，这会将后续密钥附加到指定的现有密钥表文件上。/out/out/in/out

在此处找到此信息（在此链接中也可以找到更多信息和示例）：

https://www.ibm.com/mysupport/s/question/0D50z00005q4HNoCAM/how-do-you-add-multiple-spns-to-the-same-keytab-file-for-spnego-or-kerberos-configuration-in-was?language=en_US

注意 - 我链接的线程/mapop也提到在后续命令中使用参数；但是，从我的测试来看，这与将多个密钥附加到同一个密钥表的目标无关。 的目的/mapop只是为了指定在将新 SPN 注册到帐户时是否要覆盖或附加到帐户的 SPN 列表ktpass（如果省略，则默认为附加）。但没有必要指定/mapop将新密钥附加到现有的密钥表文件。

相关内容