tomcat - 如何让 Tomcat 中的 JNDIRealm 使用 Kerberos 身份验证？

Question

我正在尝试使用 Kerberos 进行身份验证 (authentication="GSSAPI") 来运行 tomcat JNDIRealm。

但是，我得到这个:

SEVERE: Catalina.start:LifecycleException:  Exception opening directory server connection:  javax.naming.AuthenticationException: GSSAPI [Root exception is javax.security.sasl.SaslException: GSS initiate failed  [Caused by GSSException: No valid credentials provided  (Mechanism level: Attempt to obtain new INITIATE credentials failed! (null))]]

我在 server.xml 中有这个:

 <Realm className="org.apache.catalina.realm.JNDIRealm"                        authentication="GSSAPI"                        connectionName="CN=XXX User,OU=XXXGenericAccounts,\                                                   DC=xxx,DC=com"                        connectionPassword="blah"                        connectionURL="ldap://blah.xxx.com:389"                        alternateURL="ldap://blah.xxx.com:389"                        roleBase="OU=XXXGroups,DC=xxx,DC=com"                        roleName="cn"                        roleSearch="member={0}"                        roleSubtree="true"                        userBase="OU=XXXUsers,DC=xxx,DC=com"                        userSearch="sAMAccountName={0}"                        userSubtree="true"/>

知道我在这里遗漏了什么吗？

Answer 1

该错误表明 Kerberos 设置不正确。

您需要使用 -D 或 System.setProperty() 设置以下 JVM 参数，

java.security.krb5.realm : Default realm, like EXAMPLE.COM
java.security.krb5.kdc : KDC hostname, like ad.example.com