Kinit 不会连接到域服务器：获取初始凭据时，域不在 KDC 本地

Question

我正在设置一个测试平台环境，其中 Linux (Ubuntu 10.04) 客户端将向 Windows Server 2008 R2 Domain Server 进行身份验证。

我正在按照 Ubuntu 官方指南在此处设置 Kerberos 客户端：https : //help.ubuntu.com/community/Samba/Kerberos，但是在运行kinit连接域服务器的命令时遇到了问题。

我正在运行的命令是：kinit Administrator@DS.DOMAIN.COM。此命令返回以下错误：

Realm not local to KDC while getting initial credentials. 不幸的是，我无法通过谷歌搜索找到任何其他人遇到过这个确切的错误，所以我不知道这意味着什么。

客户端能够 ping 服务器的主机名，因此 DNS 服务器指向域服务器。

下面是我的 krb5.conf 文件：

[libdefaults]
default = DS.DOMAIN.COM
dns_lookup_realm = true
dns_lookup_kdc true

[realms]
    DS.DOMAIN.COM = {
        kdc = ds.domain.com:88
        admin_server = ds.domain.com
        default_domain = domain.com
    }

[domain_realm]
    .domain.com = DS.DOMAIN.COM
    domain.com = DS.DOMAIN.COM

我该如何纠正这些错误？我将不胜感激我能得到的所有帮助！

Answer 1

是你的域名DS.DOMAIN.COM还是只是DOMAIN.COM？

在您的领域中，您需要让它们匹配，因此假设 DS.DOMAIN.COM 是您需要更改的域：

[domain_realm]
    .domain.com = DS.DOMAIN.COM
    domain.com = DS.DOMAIN.COM

到

[domain_realm]
    .ds.domain.com = DS.DOMAIN.COM
    ds.domain.com = DS.DOMAIN.COM

但是，如果您的域确实是，则DOMAIN.COM需要将 krb5.conf 更改为如下所示：

[libdefaults]
default = DOMAIN.COM
dns_lookup_realm = true
dns_lookup_kdc = true

[realms]
    DOMAIN.COM = {
        kdc = ds.domain.com:88
        #You can have more than one kds, just keep adding more kdc =
        #entries
        #kdc = dsN.domain.com:88
        #Uncomment if you have a krb admin server
        #admin_server = ds.domain.com:749
        default_domain = domain.com
    }

[domain_realm]
    .domain.com = DOMAIN.COM
    domain.com = DOMAIN.COM

然后你会kinit想要这样：kinit Administrator@DOMAIN.COM