当使用带有 mod_auth_kerb 的 Apache HTTPD 与 AD 通信时，如何避免 KVNO 频繁增加？

Question 1

Active Directory 根据 RFC 4120 增加 KVNO。Microsoft 在文档 MS-KILE 第 3.1.5.8 节中记录了其对它的实现。

Active Directory 本质上忽略了 KVNO。（除了只读 DC - 如果 RODC 受到损害，它所持有的密钥就不能在另一个 DC 上重复使用。）所以我的观点是 AD 通常不关心您的 KVNO 是什么 - 即使它仍然维护 KVNO - 它只关心您的票证是否有效且未过期。（不过，我不知道您的 Linux 客户端是否严格检查 KVNO。它显然会这样做。）

Active Directory 将尝试使用该主体的最新密钥进行解密/验证，如果此密钥不起作用，它将尝试使用前一个密钥（只要前一个密钥仍在其有效期内），如果此密钥不起作用，则请求将失败。无论客户端发送什么 KVNO。但请记住，并非所有域控制器都会拥有您的 KVNO-1（即前一个 KVNO），只有最后签发您的票证的域控制器才会拥有。

当客户端计算机更改密码或续订票证或票证过期时，KVNO 会增加。默认情况下，Active Directory 使用 7 天作为票证续订的最大时间，这与您对“它的效果可以维持一周左右。”

当 Active Directory 从域成员计算机收到有效的密码更改或票证轮换时，没有任何机制可以阻止 Active Directory 增加 KVNO。因此，我的观点是 Active Directory 不会“神秘地”更新 KVNO - 它这样做有特定原因。

在我看来，您的 Linux 计算机仍在尝试使用其票证（现已过期），该票证的最长有效期已达到 7 天。（或者 Active Directory 已配置为更短的期限。）

查看/etc/krb5.conf并验证最大票证有效期是否在 Active Directory（默认域组策略中的 Kerberos 策略）中指定的最大票证有效期之内。您必须在 AD 指定的时间间隔内更新您的票证（并且您的 KVNO 必须增加）。

Answer

Active Directory 根据 RFC 4120 增加 KVNO。Microsoft 在文档 MS-KILE 第 3.1.5.8 节中记录了其对它的实现。

Active Directory 本质上忽略了 KVNO。（除了只读 DC - 如果 RODC 受到损害，它所持有的密钥就不能在另一个 DC 上重复使用。）所以我的观点是 AD 通常不关心您的 KVNO 是什么 - 即使它仍然维护 KVNO - 它只关心您的票证是否有效且未过期。（不过，我不知道您的 Linux 客户端是否严格检查 KVNO。它显然会这样做。）

Active Directory 将尝试使用该主体的最新密钥进行解密/验证，如果此密钥不起作用，它将尝试使用前一个密钥（只要前一个密钥仍在其有效期内），如果此密钥不起作用，则请求将失败。无论客户端发送什么 KVNO。但请记住，并非所有域控制器都会拥有您的 KVNO-1（即前一个 KVNO），只有最后签发您的票证的域控制器才会拥有。