【发布时间】：2017-01-30 18:58:52
【问题描述】：
我正在尝试使用 spnego 和 tomcat 设置 Kerberos 集成 Windows 身份验证。
这是我第一次这样做，还没有看到真正的环境，所以主要依赖于 spnego 网站的在线文档。 我收到以下错误：
GSSException：在 GSS-API 级别未指定故障（机制级别： 无效参数 (400) 找不到合适类型的密钥来解密 AP REP - 带有 HMAC 的 RC4）
Catalina log shows:
Jan 30, 2017 10:12:37 AM net.sourceforge.spnego.SpnegoHttpFilter doFilter
SEVERE: HTTP Authorization Header=Negotiate <edited - actual had a big key>
Jan 30, 2017 10:41:24 AM org.apache.coyote.AbstractProtocol pause
INFO: Pausing ProtocolHandler ["http-bio-8443"]
Jan 30, 2017 10:41:24 AM org.apache.coyote.AbstractProtocol pause
附加我的 krb5 和 login.conf。
KLIST command gives 2 keys:
CLIENT: B1GYZDM @ test.win.org
Server: krbtgt/test.win.org @ test.win.org
KerbTicket Encryption Type: RSADSI RC4-HMAC(NT)
CLIENT: B1GYZDM @ test.win.org
Server: krbtgt/test.win.org @ test.win.org
KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96
Tomcat 作为本地服务运行。 并且 keytab 支持 128 & 256 加密。
你能帮我解决这个问题吗？
KRB5.conf:
[libdefaults]
default_tkt_enctypes = aes128-cts aes256-cts
default_tgs_enctypes = aes128-cts aes256-cts
permitted_enctypes = aes128-cts aes256-cts
[realms]
test.win.org = {
kdc = test.win.org
default_domain = test.win.org
}
[domain_realm]
test.win.org = test.win.org
login.conf:
spnego-client {
com.sun.security.auth.module.Krb5LoginModule required;
};
spnego-server {
com.sun.security.auth.module.Krb5LoginModule required
storeKey=true
useKeyTab=true
keyTab="file:///E:/Apps/apache-tomcat-7.0.40/bin/test.keytab"
isInitiator=false;
};
custom-client {
com.sun.security.auth.module.Krb5LoginModule required
storeKey=true
useKeyTab=true
keyTab="file:///E:/Apps/apache-tomcat-7.0.40/bin/test.keytab"
principal=B1ADPST000;
};
【问题讨论】：
-
请将 krb5.conf 和 login.conf 的内容直接粘贴到问题本身。不要让我们去其他网站下载它们。这些文件足够短，您可以这样做。好吧，无论如何肯定是 krb5.conf，对于 login.conf，如果它不比 krb5.conf 长多少，您可以显示相关的 SPNEGO 部分或整个内容。
-
我已经用文件内容更新了工单
-
您是否使用 Microsoft Active Directory 来访问 Kerberos？您是否还有创建 keytab 时使用的 keytab 创建语法的副本，如果有，您也可以发布吗？
-
是的，它为 kerberos 使用 AD。我没有 keytab 命令，但已要求管理员提供命令，如果我得到它。
标签： single-sign-on kerberos windows-authentication spnego mit-kerberos