未指定的 GSS 失败：... kvno [Number] 在 keytab 中找到但不是 enctype rc4-hmac答案

【问题标题】：Unspecified GSS failure: ... kvno [Number] found in keytab but not with enctype rc4-hmac未指定的 GSS 失败：... kvno [Number] 在 keytab 中找到但不是 enctype rc4-hmac
【发布时间】：2019-06-10 11:59:52
【问题描述】：

我正在尝试运行验证来自客户端的授权令牌的代码。我在函数中编写了这段代码：

 host = 'site_address'
state = None
service_name = f'HTTP@{host}'
try:
    rc, state = kerberos.authGSSServerInit(service_name)
    if rc != kerberos.AUTH_GSS_COMPLETE:
        return None
    rc = kerberos.authGSSServerStep(state, token)   <<<<< !!! ERROR !!!
    if rc == kerberos.AUTH_GSS_COMPLETE:
        self.kerberos_token = kerberos.authGSSServerResponse(state)
        self.kerberos_user = kerberos.authGSSServerUserName(state)
        return rc
    elif rc == kerberos.AUTH_GSS_CONTINUE:
        return kerberos.AUTH_GSS_CONTINUE
    else:
        return None
except kerberos.GSSError as error:
    LOGGER.error('Failed to perform the token verification due to %s', error)
    return None
finally:
    if state:
        kerberos.authGSSServerClean(state)

但代码在rc = kerberos.authGSSServerStep(state, token) 处失败（在代码中标记了该行）并出现此错误：

GSSError: (('Unspecified GSS failure.  Minor code may provide more information', 851968), ('Request ticket server HTTP/<site_address>@<realm_name> kvno 4 found in keytab but not with enctype rc4-hmac', 100005))

同样把这个错误抛到了屏幕上：

[3302] 1547638447.877515: Failed to decrypt AP-REQ ticket: -1765328340/Request ticket server HTTP/base.testing.gc@TESTING.GC kvno 4 found in keytab but not with enctype rc4-hmac

我的问题是：为什么我会收到此消息？我在 Active Directory 中配置的用户标记为启用了This account supports Kerberos AES 256 bit encryption，并使用/crypto AES256-SHA1 enctype 创建了keytab 文件。

为什么我的服务器（ubuntu 机器上的docker-Ubuntu 18.04）试图用rc4-hmac enctype 对它进行加密？如何解决？

编辑也许我的问题应该是：谁告诉我应该在哪个enctype 中阅读keytab？

【问题讨论】：

标签： python security authentication kerberos spring-security-kerberos

【解决方案1】：

对我来说，它是浏览器的trust configuration - 应该将该站点添加到浏览器的受信任站点（Internet 选项 -> 安全 -> 本地 Internet -> 站点 -> 添加具有确切 端口的站点、http/https 和**地址*）。

出于某种奇怪的原因，enctype 的指令位于令牌的标头中......或者这种加密存在某种回退。

【讨论】：