kerberos - ktpass 中 mapuser 的用途

Question

我只想找出使用​​ ktpass 将用户映射到服务的目的是什么是。例如，我在 Windows 上运行 ktpass像这样:

ktpass -out <keytab location> -princ <host/domain.com> -mapUser useraccount@domain.com -mapOp add .........

当我们将用户映射到 -princ这是否意味着只有“useraccount”才能对服务进行身份验证？我们如何使用 -add和 -set选项？有什么区别？

我的问题是:我有很多用户想要使用我拥有的服务，并通过 kerberos (JASS Krb5LoginModule) 进行身份验证，但我不想在 jaas.config 文件中指定许多用户主体名称。所以我正在考虑改用 SPN，并映射用户。

Answer 1

选项 -mapUser useraccount@domain.com 告诉 ktpass 将“principal”存储在 Active Directory 中该用户的属性 userPrincipalName 中，以便 Active Directory 能够在客户端为该“principal”请求 KerberosServiceTicket 时找到它，并且发出这样的票。

-mapUser 指定用户名，代表您在 Active Directory 中的服务。

使用 ktpass 你在做两件事:为你的服务生成 key 表(这样它就可以打开从客户端收到的 Kerberos 票证，即验证它们)，并在 Active Directory 中注册主体(这样客户端就可以在全部)。

在 jaas.config 文件中，您只指定一个主体名称(用于服务)，而不是用于客户端。一旦用户登录到 Active Directory 域，他/她就有权获得您的服务的服务票证。