带有服务名称的 Kerberos JAAS

Question

我正在尝试设置 Zookeeper / Kafka Kerberos 身份验证，但我的 keytab 是以一种有趣的方式创建的：

ktpass -princ zookeeper/hostname@TEST -mapuser zookeeper -mapOp add -Target TEST 

事实证明我可以做到这一点

kinit zookeeper@TEST

或者这个：

kinit zookeeper@TEST -S zookeeper/hostname@TEST

但我不能这样做：

kinit zookeeper/hostname@TEST
kinit: Client 'zookeeper/hostname@TEST' not found in Kerberos Database while getting initial credentials

所以这个 JAAS 文件可以工作：

Server {
       com.sun.security.auth.module.Krb5LoginModule required
       useKeyTab=true
       keyTab="/path/to/server/keytab"
       storeKey=true
       useTicketCache=false
       principal="zookeeper@TEST";
};

但这个不会：

Server {
       com.sun.security.auth.module.Krb5LoginModule required
       useKeyTab=true
       keyTab="/path/to/server/keytab"
       storeKey=true
       useTicketCache=false
       principal="zookeeper/hostname@TEST";
};

那么我怎样才能使用 JAAS 文件来完成这项工作呢？我找不到拥有多个主体或指定服务名称（如kinit）的选项？

Answer 1

假设您使用的是 Active Directory，您需要将您的用户主体名称 zookeeper 映射到服务主体名称

setspn -s zookeeper/localhost@TEST zookeeper

更多详情here

你仍然使用 zookeeper@TEST 作为 JAAS 文件中的主体。