python - authGSSServerInit 极慢

Question

我正在为运行在 Ubuntu 16.04 上的 Flask 服务器实现单点登录机制，该机制根据 Windows 域中的 Active Directory 服务器对用户进行身份验证。

当我从 https://github.com/mkomitee/flask-kerberos/tree/master/example 运行示例应用程序时在 Flask 服务器上，我可以从登录的客户端计算机访问 Flask 服务器，服务器正确协商访问并返回登录用户的名称。但是，这非常慢，大约需要两分钟。

按照 flask-kerberos 中发生的步骤，我发现进程停在了 authGSSServerInit step 处。 .我可以使用以下最小程序重现该行为:

import kerberos
rc, state = kerberos.authGSSServerInit("HTTP@flaskserver.mydomain.local")

初始化成功完成，但又需要大约两分钟。

我已成功在 AD 服务器上注册服务主体 (HTTP/flaskserver.mydomain.local) 并将 key 表导出到 Flask 服务器。我可以使用 kinit -k HTTP/flaskserver.mydomain.local 在 Flask 服务器上获得票证授予票证。我还可以使用 kerberos 库在 Python 中验证密码:

import kerberos
kerberos.checkPassword('username', 'password', 'HTTP/flaskserver.mydomain.local', 'MYDOMAIN.LOCAL'

这会正确且几乎立即运行。

kerberos.authGSSServerInit 运行延迟的原因可能是什么？我该如何调试？

Answer 1

延迟是由于主机名的反向 DNS 查找失败造成的。 host flaskserver正确返回了 IP，但是 host <ip-of-flaskserver>返回了 Host <ip-of-flaskserver>.in-addr.arpa not found: 2(SERVFAIL) .

如 https://web.mit.edu/kerberos/krb5-1.13/doc/admin/princ_dns.html 所述, 在 krb5.conf 中禁用反向 DNS 查找解决了问题:

[libdefaults]
    rdns = false