主页 / coding / 问题

问题[active-directory](coding)

Martin Hope
Mose
Asked: 2025-04-05 21:55:46 +0800 CST
  • 5

我正在运行 JFrog Artifactory 7.104，并尝试配置针对 Active Directory（通过 LDAP）的身份验证。LDAP 设置工作正常，但是 LDAP 组设置没有返回结果。

配置（由于显而易见的原因，baseDN 被混淆了）：

URL: ldap://ad.example.com
Email Attribute: mail
Search Filter: sAMAccountname={0}
Search Base: OU=Users,DC=ad,DC=example,DC=com|OU=Partners,DC=ad,DC=example,DC=com
Manager DN: CN=ldapbind,OU=Admin,DC=ad,DC=example,DC=com

我可以成功建立测试连接，并通过上述方式以 LDAP 用户身份进行身份验证。但是，LDAP 组设置始终无法传播。我遵循了https://jfrog.com/screencast/configure-artifactory-with-ldap/上的示例，甚至尝试按照https://jfrog.com/help/r/jfrog-platform-administration-documentation/support-for-nested-entra-id-groups进行设置。

首次配置尝试：

Mapping Strategy: static
Group Member Attribute: member
Group Name Attrubute: cn
Description Attribute: description
Filter: (objectClass=group)
Search Base: DC=ad,DC=example,DC=com
Search Subtree: True

修改后的配置：

Mapping Strategy: dynamic
Group Member Attribute: member:1.2.840.113556.1.4.1941:
Group Name Attrubute: cn
Description Attribute: description
Filter: (objectClass=group)
Search Base: DC=ad,DC=example,DC=com (Also tried null value)
Search Subtree: True

我甚至通过服务器验证了我的设置ldapsearch，并且能够使用应用程序中配置的相同凭据，使用搜索基础值返回所需的对象。

我实际想要使用的基础 DN 是OU=jfrog,OU=Groups,DC=ad,DC=example,DC=com包含映射到应用程序的组的 DN。这些组将包含个人以及个人的群组。

active-directory
Martin Hope
calkulius
Asked: 2024-09-27 14:32:53 +0800 CST
  • 5

我正在使用realmd加入活动目录域，使用以下命令时成功：

sudo realm join -U [email protected] domain.com

它提示我输入密码，然后就可以正常工作了。

我现在正在尝试自动化该过程。我想运行上述命令（或其某些变体），而无需输入密码。

我尝试创建 Kerberos 密钥表。我运行了kinit命令，可以看到用户正在使用klist。有用的数据来自klist：

Default principal: [email protected]
Service principal: krbtgt/[email protected]

我运行该命令sudo realm join希望它读取密钥表，但是我得到以下信息：

$ sudo realm join
Password for Administrator:

系统提示我输入管理员密码，但这不是我的用户。根据我在网上找到的资料，如果已设置 kerberos，系统就不会提示我输入密码。我觉得它realmd甚至没有读取初始化的用户。您知道我该如何解决这个问题吗？在 kerberos 或 realmd 配置级别上，我还应该做些什么吗？

active-directory
Martin Hope
Kevin
Asked: 2024-09-15 21:27:12 +0800 CST
  • 5

我正在尝试配置一个密钥表文件，以便与我的服务主体一起使用，以便在我的 Linux (RHEL9) 服务器和我的 Microsoft Windows 2022 Server 之间进行 Kerberos 身份验证。服务主体是 MSSQLSvc/ [email protected]。当我在我的 AD 主机（控制器）上生成密钥表文件，然后将其上传到我的 RHEL 主机并尝试生成票证时。

kinit -V -t /etc/test.keytab MSSQLSvc/[email protected]

我总是得到：

Using keytab: /etc/test.keytab
kinit: Invalid integer value while getting initial credentials

还尝试过：

kinit MSSQLSvc/[email protected]
kinit: Invalid integer value while getting initial credentials

以下是我配置环境的背景。首先，我将 SQL Server 服务设置为使用我的域用户[email protected]运行。然后我为我的用户生成了一个服务原则：

PS C:\Users\Administrator> setSPN EvolvenDBUser
Registered ServicePrincipalNames for CN=EvolvenDBUser,CN=Users,DC=evolven,DC=corp:
        MSSQLSvc/MSSQL-G1CFTVE.evolven.corp
        MSSQLSvc/MSSQL-G1CFTVE.evolven.corp:1433

接下来，我通过以下命令在我的 AD 主机上生成了一个 keytab 文件：

ktpass -princ MSSQLSvc/[email protected] -mapuser [email protected] -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass <password> -out test.keytab -SetPass

它返回的是：

Targeting domain controller: EC2AMAZ-AEHRC46.evolven.corp
Using legacy password setting method
Successfully mapped MSSQLSvc/MSSQL-G1CFTVE.evolven.corp to EvolvenDBUser.
Key created.
Output keytab to evolven.keytab:
Keytab version: 0x502
keysize 99 MSSQLSvc/[email protected] ptype 1 (KRB5_NT_PRINCIPAL) vno 20 etype 0x12 (AES256-SHA1) keylength 32 (0x0a32866cd2364109a006b483cedd8f6eee418f87b2b460d6be75e6763b1b0aef)

当我检查 RHEL 主机上的 keytab 文件时：

klist -k /etc/test.keytab 
Keytab name: FILE:/etc/test.keytab
KVNO Principal
---- --------------------------------------------------------------------------
  18 MSSQLSvc/[email protected]

在我的 RHEL 主机上，我的 krb5.conf 并不是很花哨，但我可以确认它支持我想要使用的加密设置。

[logging]
    default = FILE:/var/log/krb5libs.log
    kdc = FILE:/var/log/krb5kdc.log
    admin_server = FILE:/var/log/kadmind.log

[libdefaults]
    default_realm = EVOLVEN.CORP
    dns_lookup_realm = false
    dns_lookup_kdc = false
    ticket_lifetime = 30d
    renew_lifetime = 30d
    forwardable = true
    udp_preference_limit = 1  # Forces TCP if UDP fails
    default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96
    default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96
    permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96

[realms]
    EVOLVEN.CORP = {
        kdc = EC2AMAZ-AEHRC46.evolven.corp
        admin_server = EC2AMAZ-AEHRC46.evolven.corp
    }

[domain_realm]
    .evolven.corp = EVOLVEN.CORP
    evolven.corp = EVOLVEN.CORP

我尝试过很多事情：

  1. 我已在 AD 中启用用户支持 AES-128 和 AES-256。
  2. 更改了 AD 用户的密码，然后重新生成了 keytab 文件。我还删除了密码中的特殊字符，认为这可能会导致问题。结果还是一样。
  3. 执行了 kdestroy 来删除所有旧票。
  4. 我在这里看到一篇帖子：kinit：获取初始凭证时预认证失败。
  5. 不知道为什么，但即使我已启用日志记录，我也看不到任何日志。

我尝试过这样做：ktutil: add_entry -password -p MSSQLSvc/[email protected] -k 18 -e aes256-cts-hmac-sha1-96 -f

然后我回来

add_entry: Invalid integer value while adding new entry

显然，我的服务主体身份验证存在问题。我该如何解决才能生成票证？

active-directory