Apache kerberos 身份验证未在 Active Directory 中发生。（是否与 KRB5KDC_ERR_C_PRINCIPAL_UNKNOWN 有关？）

Question

我已经按照说明进行操作http://www.grolmsnet.de/kerbtut/很多次，因为它们有效。顺便说一下，您不需要将 Linux 主机加入 AD 域，这样做是可以的，但不是必要的。

首先，确保您可以从 centos 主机 kinit 到您的 AD 领域。您可以像这样使用您的普通用户凭据：

$ kinit [email protected]

（顺便说一下，kinit 是 centos 中 krb5-workstation 包的一部分）

输入您的密码，没有消息就是好消息。运行 klist，您应该会看到一个 kerberos 票证作为您的 AD 用户名。如果此步骤不成功，请返回并修复您的 krb5.conf，直到成功为止。

使用 kdestroy 摆脱该票。

一旦成功，您就可以在 AD 中创建一个用户帐户。确保它不必更改密码，并且密码不会过期。

然后我们在具有管理工具的 Windows 主机上或域控制器中以管理员或具有足够权限的帐户身份使用 setspn.exe 将服务主体名称 (spn) HTTP/host.adrealm.tld 绑定到该用户帐户：

setspn -A HTTP/host.adrealm.tld username [enter]
Registering ServicePrincipalNames for CN=username,OU=service_accounts,dc=adrealm,DC=tld
        HTTP/host.adrealm.tld
Updated object

现在我们可以使用 ktpass.exe（仍在 Windows 管理主机或域控制器中）为该对象生成密钥表：

ktpass -princ HTTP/[email protected] -pass xxxxx -mapuser username -Ptype KRB5_NT_PRINCIPAL -out host_adrealm_tld.keytab [enter]
Targeting domain controller: DCname.Adrealm.tld
Successfully mapped HTTP/host.adrealm.tld to username.
Password succesfully set!
Key created.
Output keytab to host_adrealm_tld.keytab:
Keytab version: 0x502
keysize 75 HTTP/[email protected] ptype 1 (KRB5_NT_PRINCIPAL)
vno 3 etype 0x17 (RC4-HMAC) keylength 16 (0x037da0f7493b97966e4a19636304064d)

将此文件传输到 centos 主机并将其放置在 /etc/httpd/conf.d/ 中，权限为 640（root:apache）。如果启用了 selinux，请运行 restorecon -rv /etc 以最终修复那里的 selinux 上下文。

您可以使用以下命令验证 keytab 文件：

$ klist -k -t host_adrealm_tld.keytab 
Keytab name: FILE:host_adrealm_tld.keytab
KVNO Timestamp         Principal
---- ----------------- --------------------------------------------------------
   3 01/01/70 01:00:00 HTTP/[email protected]

您甚至可以更进一步使用它来登录：

# kinit -k -t host_adrealm_tld.keytab -p HTTP/[email protected]
# klist 
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: HTTP/[email protected]

Valid starting     Expires            Service principal
11/04/14 21:45:41  11/05/14 07:45:41  krbtgt/[email protected]
    renew until 11/05/14 21:45:41

在您的 DNS 基础架构中（也可能在 AD DNS 中），创建一个指向 centos 主机的 A host.realm.tld（如果您使用 samba 加入主机，它应该已经为您创建了它，请确保它是正确的）。

确保您的 centos 主机已安装 mod_auth_kerb。

您可以编辑您的（虚拟）主机的其中一个 apache conf 文件来安装 apache。

在这种情况下，让我们保护文件夹http://host.adrealm.tld/topsecret：

Alias /topsecret/ "/path/to/topsecret/"

<Directory "/path/to/topsecret/">

    AuthType  Kerberos
    KrbAuthRealms YOURAD.TLD
    KrbServiceName HTTP
    Krb5Keytab /etc/httpd/conf.d/host_adrealm_tld.keytab
    KrbMethodNegotiate on
    KrbMethodK5Passwd off
    require valid-user

</Directory>

在 centos 主机的文件系统中创建 topsecret 文件夹。在其中设置几个虚拟文件。如果您在启用 selinux 的情况下运行，请确保该文件夹具有适合 apache 的安全上下文（如果文件夹位于 /var/www/html 中，则应该正确，运行 restorecon -rv /var/www/html 最终将修复所有 selinux 问题）。

验证 apache2 语法是否通过：

apachectl -t

如果您收到“语法正常”并出现无法可靠地确定主机 fqdn 的警告，则表示一切正常（您可以稍后再修复此问题，但这并不重要）。重新加载 apache：

apachectl graceful

验证您的本地防火墙允许 httpd 连接。

就是这样。现在您需要配置客户端。如果您的网络中已经有使用“Windows 身份验证”的 Web 服务器，那么您就设置好了，转到 topsecret url，如果您有有效的 kerberos 票证，您应该可以看到文件，否则您将被拒绝访问。

Answer 1