无法获取Kerberos服务票证:KrbException:在Kerberos数据库中找不到服务器(7)

Question

我正在使用GSSAPI进行开发,并且我的代码与vanilla MIT Kerberos 5服务器一起工作以执行一些客户端/服务器工作.我现在正在验证它对Active Directory的功能,我遇到了一个问题.

我的服务器经过身份验证和监听.我可以让客户登录.为了记录,这是基于http://thejavamonkey.blogspot.com/2008/04/clientserver-hello-world-in-kerberos.html的代码.但是,我无法让客户端从AD获取故障单以获取它与服务器之间的会话.我得到KrbException:在Kerberos数据库(7)中找不到服务器,我无法弄清楚添加它的适当位置.我已经尝试将服务器名称与ip放在hosts文件中,更新dns,放入服务器记录等,没有运气.

如果有人知道更新AD以在Kerberos数据库中设置服务器的适当位置,那就太棒了!

Answer 1

这个例外来自客户,对吧？请执行服务器主机名的正向和反向DNS查找.您的服务器的DNS条目不正确.它们对于Kerberos绝对至关重要.正确的位置是您的DNS服务器,在您的情况下:域控制器.找出DNS服务器的IP地址并联系您的管理员.另一种选择是缺少SPN,请检查一下.

Answer 2

我希望这有帮助..我得到了同样的错误消息(在Kerberos数据库(7)中找不到服务器)但这是在成功使用keytab登录后发生的.

当我们尝试使用凭据对AD执行LDAP搜索时,会出现错误消息.

这只是从java 1.6.0_34开始发生 - 它与1.6.0_31一起工作,我认为是之前的版本.发生此错误是因为java不信任它与LDAP通信的KDC实际上是Kerberos领域的一部分.在我们的例子中,我认为这是因为LDAP连接是通过循环解析查询找到的服务器名称.也就是说,java解析了realm.example.com,但是获取了kdc1.example.com或kdc2.example .com ..etc中的任何一个.他们必须收紧这些版本之间的检查.

在我们的例子中,通过直接设置ldap服务器名称而不是依赖DNS来解决问题.

但调查仍在继续.

Answer 3

在我的情况下,它是由所请求服务器地址的错误配置引起的.

服务器地址应为FQDN(完全限定的域名).

Kerberos始终需要FQDN.