Ошибка при отправке принципала на сервер Kerberos. Apache2 и kerberos5

Когда я пытаюсь пройти аутентификацию через apache2 с помощью kerberos5, я получаю сообщение об ошибке.
я использую mod_auth_kerb
когда я просматриваю журналы apache, я вижу, что мой принципал изменен, добавив: .0.16.172.in-addr.arpa @ в конце. так что Керберос ответит

не удалось проверить учетные данные krb5: сервер не найден в базе данных Kerberos

Я могу получить билет в Керберосе

Я использую keytab со случайным ключом для аутентификации моего сервера: HTTP / admin-apache.domain.com здесь выдержка из журналов apache:

[15 апреля, среда, 16:12: 50.539355 2015] [authz_core: debug] [pid 30467] mod_authz_core.c (809): [client 192.168.90.100:43211] AH01626: результат авторизации Require valid-user: denied (нет аутентифицированного пользователя еще)
[среда, 15 апреля, 16: 12: 50.539412 2015] [authz_core: debug] [pid 30467] mod_authz_core.c (809): [client 192.168.90.100:43211] AH01626: результат авторизации: отказано (без аутентификации пользователь еще)
[среда, 15 апреля, 16: 12: 50.539440 2015] [auth_kerb: debug] [pid 30467] src / mod_auth_kerb.c (1971): [client 192.168.90.100:43211] kerb_authenticate_user введен с пользователем (NULL) и auth_type Kerberos
[среда, 15 апреля, 16: 12: 50.541680 2015] [auth_kerb: debug] [pid 30467] src / mod_auth_kerb.c (1049): [client 192.168.90.100:43211] Использование HTTP / admin-apache. domain.com.0.16.172.in-addr.arpa @ в качестве участника-сервера для проверки пароля
[среда, 15 апреля, 16: 12: 50.541715 2015] [auth_kerb: debug] [pid 30467] src / mod_auth_kerb.c (753 ): [клиент 192.168.90.100:43211] Пытаюсь получить TG T для пользователя [email protected]
[среда, 15 апреля 16: 12: 50.565806 2015] [auth_kerb: debug] [pid 30467] src / mod_auth_kerb.c (663): [client 192.168.90.100:43211] Попытка проверить подлинность KDC с помощью основного HTTP / admin-apache.domain.com.0.16.172.in-addr.arpa @
[среда, 15 апреля> 16:12: 50.575915 2015] [auth_kerb: debug] [pid 30467] src / mod_auth_kerb.c (678): [клиент 192.168.90.100:43211] krb5_get_credentials () не удалось проверить KDC
[среда, 15 апреля, 16: 12: 50.575946 2015] [auth_kerb: ошибка] [pid pid] [клиент 192.1 304 .90.100: 43211] не удалось проверить учетные данные krb5: сервер не найден> в базе данных Kerberos
[среда, 15 апреля, 16: 12: 50.575959 2015] [auth_kerb: debug] [pid 30467] src / mod_auth_kerb.c (1131): [клиент 192.168.90.100:43211] kerb_authenticate_user_krb5pwd ret = 401 user = (NULL) authtype = (NULL)

вот мой конфиг vhost:

 ServerName ldapadmin.domain.com  
 ServerAdmin root@localhost  
 DocumentRoot /usr/share/phpldapadmin/htdocs  
 ErrorLog /var/log/apache2/ldap.localhost-error.log  
 CustomLog /var/log/apache2/ldap.localhost-access.log common    </VirtualHost>



AuthType Kerberos
AuthName "domain.com"
KrbMethodNegotiate на
KrbMethodK5Passwd на
Krb5Keytab /etc/apache2/http.keytab
KrbAuthRealms DOMAIN.COM
KrbServiceName HTTP
Требовать действительного пользователя

DirectoryIndex index.php
Options +FollowSymLinks
AllowOverride None

Order allow,deny
Allow from all

<IfModule mod_mime.c>

  <IfModule mod_php5.c>
    AddType application/x-httpd-php .php

    php_flag magic_quotes_gpc Off
    php_flag track_vars On
    php_flag register_globals Off
    php_value include_path .
  </IfModule>

  <IfModule !mod_php5.c>
    <IfModule mod_actions.c>
      <IfModule mod_cgi.c>
        AddType application/x-httpd-php .php
        Action application/x-httpd-php /cgi-bin/php5
      </IfModule>
      <IfModule mod_cgid.c>                                                    
        AddType application/x-httpd-php .php                                   
        Action application/x-httpd-php /cgi-bin/php5                           
       </IfModule>
    </IfModule>
  </IfModule>

</IfModule>

Почему мой принципал изменен apache?
Что я могу сделать, чтобы это исправить?
Спасибо за вашу помощь
Будьте вежливы, я новичок в Kerberos5


person dayak    schedule 15.04.2015    source источник


Ответы (1)


чтобы избежать такой ошибки. вам необходимо проверить свои записи DNS.
проверьте обратный поиск.
С помощью bind9 вы должны проверить записи своего домена.
Синтаксис является обычным источником ошибок. Он должен иметь "." в конце каждой записи в файле db.xx.xx.xx.in-addr.arpa

person meuh    schedule 16.04.2015
comment
Можете добавить немного подробностей? Что именно нужно проверить? - person Peanut; 16.04.2015