Apache 向 Kerberos 发送错误的服务器主体名称

Question

我正在尝试针对 kerberos 验证我的 apache。我有两个网站在同一台服务器上运行，我使用 VirtualHosts 来实现这一点，并将 DNS 设置为该服务器的两个名称，以便每个网站都有一个单独的名称。我最近添加了一个新的 ldap/Kerberos 服务器并尝试将我的一个网站连接到它，但我未能获得正确的凭据以使其正常工作。添加一些调试后，我发现 apache 查找 HTTP/fist-server-name 而不是 HTTP/second-server-name，因此无法在 Kerberos 数据库和 keytab 中找到正确的主体。如何强制 apache 对第二个服务器名称进行检查以验证来自我的第二个网站的调用？看起来在 apache 配置中添加 ServerName 属性是不够的！我可以通过更改主机文件中的服务器名称顺序来做到这一点，

谢谢。

Answer 1

我假设您正在使用 mod_auth_kerb。您需要添加：

KrbServiceName Any

到您的 Apache 配置。这将告诉 mod_auth_kerb 接受对其使用的密钥表中存储了密钥的任何主体的身份验证，而不是假设将使用什么主体并且只接受对该主体的身份验证。