时间戳

首页 > 解决方案 > Kerberos GSSAPI AD 身份验证失败

active-directory - Kerberos GSSAPI AD 身份验证失败

问题描述

我在 centos 8 上有一个 apache httpserver。我必须使用 kerberos 模块保护特定位置，并且我正在使用 GSSAPI 模块。

我已经配置了 kerberos 客户端，并且 kinit 测试似乎很好：

[root@test etc]# kinit -V
Using principal: HTTPS/test.com@MIODOMINIO.IT
Password for HTTPS/test.com@MIODOMINIO.IT:
Authenticated to Kerberos v5
[root@test etc]#

我需要域 pc 上的浏览​​器可以在不询问凭据的情况下访问我的受保护资源。我以这种方式在 apache 中设置了 GSSAPI 模块：

<Location /kerb>
    AuthType GSSAPI
    AuthName "GSSAPI Single Sign On Login"
    GssapiSSLonly On
    GssapiAllowedMech krb5
    GssapiCredStore keytab:/etc/kerberosx2.keytab
    BrowserMatch Windows gssapi-no-negotiate
    GssapiLocalName On
    GssapiBasicAuth Off
    Require valid-user
</Location>

但是当在浏览器（互联网浏览器）中我请求 apache 日志中的资源时，我有这个错误：

[Fri Dec 18 12:32:10.276925 2020] [auth_gssapi:debug] [pid 11188:tid 139970006206208] mod_auth_gssapi.c(895): [client 192.168.1.174:53678] URI: /kerb/kerb.html, no main, no prev [Fri Dec 18 12:32:10.276932 2020] [auth_gssapi:info] [pid 11188:tid 139970006206208] [client
192.168.1.174:53678] NO AUTH DATA Client did not send any authentication headers

我已将该站点放在 Internet Explorer 的本地安全站点中，就像我在网上找到的一样，但没有结果。

任何想法？似乎浏览器即使在域中也不会发送身份验证标头。

谢谢！

标签： active-directorykerberosgssapi

解决方案

谢谢大家，我已经在一个干净的环境中重新配置，现在它可以工作了。我已经使用 gssapi-mod 和用于 apache 的旧 kerb-mod 对其进行了测试。

也许有一些配置错误。

谢谢

推荐阅读