主页 / server / 问题 / 1055119
Accepted
Nathan
Asked: 2021-02-26 14:18:26 +0800 CST

在 Kerberos 数据库中未找到服务器 - 数据库位于何处？

  • 772

测试设置：

  • 在已加入活动目录的 Windows 10 机器上运行的 Weblogic 12.2.1.4
  • 运行 Red Hat Enterprise Linux 7 的 Linux 文件服务器，配置了 sssd 以连接到 Active Directory
  • 运行 Red Hat Enterprise Linux 6 的 Linux 文件服务器，不使用 sssd，不使用 winbind（不清楚为 Active Directory 配置的精确度）

根据我收集到的与系统管理员对话的第三手资料，MIT Kerberos 以某种方式参与了将 linux 服务器连接到 Active Directory 的工作——但我没有更多信息。

（注意：serverfault 存在 markdown 表渲染问题 - 表在预览中显示正常，但在实际发布的问题中显示不正常，因此现在将其包围在代码块中，这样它就不会一起运行）

试验结果

| Source (all on same Windows 10 machine)  | Target FileServer     | Result  |
|------------------------------------------|-----------------------|---------|
| Weblogic application                     | RHEL 6                | Success |
| Weblogic application                     | RHEL 7                | **Fail:** Server not found in Kerberos database |
| Windows Explorer                         | RHEL 6                | Success |
| Windows Explorer                         | RHEL 7                | Success |

所有测试都使用相同的用户凭据完成。

Weblogic 的跟踪结果（将 java 系统属性设置为 之后sun.security.krb5.debug）true是：

KrbAsReqBuild: PREAUTH FAILED/REQ, re-send AS-REQ
Using builtin default etypes for default_tkt_enctypes
default etypes for default_tkt_enctypes: 18 17 16 23
Using builtin default etypes for default_tkt_enctypes
default etypes for default_tkt_enctypes: 18 17 16 23
>>> EType: sun.security.krb5.internal.crypto.Aes256CtsHmacSha1EType
>>> KrbAsReq creating message
getKDCFromDNS using UDP
>>> KrbKdcReq send: kdc=***************. UDP:88, timeout=30000, number of retries =3, #bytes=233
>>> KDCCommunication: kdc=***************. UDP: 88, timeout=30000,Attempt =1, #bytes=233
>>> KrbKdcReq send: #bytes read=100
>>> KrbKdcReq send: kdc=*****************. TCP:88, timeout=30000, number of retires =3, #bytes=233
>>> KDCCommunication: kdc=****************. TCP:88, timeout=30000,Attempt =1, #bytes=233
>>>DEBUG: TCPClient reading 2695 bytes
>>>KrbKdcReq send: #bytes read=2695
>>>KdcAccessibility: remove **********************.:88
>>>Etype: sun.security.krb5.internal.crypto.Aes256CtsHmacSha1EType
>>>KrbAsRep cons in KrbAsReq.getReply ******
Found ticket for ******@******** to go to krbtgt/******@****** expiring on ******
Entered Krb5Context.initSecContext with state=STATE_NEW
Found ticket for ******@******** to go to krbtgt/******@****** expiring on ******
Service ticket not found in the subject
>>> Credentials serviceCredsSingle: same realm
Using builtin default etypes for default_tgs_enctypes
default etypes for default_tgs_enctypes: 18 17 16 23
>>> EType: sun.security.krb5.internal.crypto.Aes256CtsHmacSha1EType
>>> CksumType: sun.security.krb5.internal.crypto.HmacSha1Aes256CksumType
>>> EType: sun.security.krb5.internal.crypto.Aes256CtsHmacSha1EType
getKDCFromDNS using UDP
>>> KrbKdcReq send: kdc=************. TCP:88, timeout=30000, number of retries =3, #bytes=2633
>>> KDCCommunication: kdc=************. TCP:88, timeout=30000,Attempt =1, #bytes=2633
>>>DEBUG: TCPClient reading 104 bytes
>>> KrbKdcReq send: #bytes read=104
>>> KdcAccessibility: remove *************.:88
>>> KDCRep: init() encoding tag is 126 req type is 13
>>>KRBError:
        STime is **********
        suSec is **********
        error code is 7
        error Message is Server not found in Kerberos database
        sname is cifs/***********@***********
        msgType is 30

搜索“在 Kerberos 数据库中找不到服务器”会产生多种可能性（DNS 似乎是最常见的建议，其他答案建议 SPN 注册、TLS 证书、不使用 FQDN、无效的主机到领域映射、主机不是域的一部分， IPV4 与 IPV6）

网络管理员说 DNS 是正确的，这似乎可以通过 Windows 资源管理器可以很好地连接到 RHEL 7 服务器这一事实得到证实。但我也不准备只责备 java 代码，因为它确实成功连接到 RHEL 6 服务器。

我很难清楚地解释需要在哪里配置 Kerberos 条目。

这是 Windows 10 机器、文件服务器或 Active Directory KDC 上的“Kerberos 数据库”吗？或者是否有这个 Kerberos 数据库的多个副本，每个副本都需要条目？

编辑 - 附加细节 我学到了一些新东西，可以提供一些附加细节。

以下内容均来自 Developer 机器上的 Window 命令提示符。

领域由以下因素决定：

C:\>echo %userdnsdomain%
DC1.DC2.DC3

对于成功的连接（RHEL 6 服务器）

C:\>powershell Get-ADComputer server1

DistinguishedName : CN=SERVER1,OU=ou1,OU=ou2,OU=ou3,DC=dc1,DC=dc2,DC=dc3
DNSHostName       : server1.dc2.dc3
Enabled           : True
Name              : SERVER1
ObjectClass       : Computer
ObjectGUID        : aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa
SamAccountName    : server1$
SID               : ************************************
UserPrincipalName :

C:\>setspn -L server1
Registered ServicePrincipalNames for CN=SERVER1,OU=ou1,OU=ou2,OU=ou3,DC=dc1,DC=dc2, DC=dc3:
        HOST/server1.dc2.dc3
        HOST/SERVER1

C:\>nslookup server1
Server:  aa1.dc2.dc3
Address:  123.456.789.01

Name:    server1.dc2.dc3
Address:  123.456.7.890

C:\>nslookup 123.456.7.890
Server:  aa1.dc2.dc3
Address:  123.456.789.01

Name:    server1.dc2.dc3
Address:  123.456.7.890

对于失败的连接（RHEL 7 服务器）

C:\>powershell Get-ADComputer server2

DistinguishedName : CN=SERVER2,OU=ou4,DC=dc1,DC=dc2,DC=dc3
DNSHostName       : server2.dc1.dc2.dc3
Enabled           : True
Name              : SERVER2
ObjectClass       : Computer
ObjectGUID        : bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb
SamAccountName    : SERVER2$
SID               : ************************************
UserPrincipalName :

C:\>setspn -L server2
Registered ServicePrincipalNames for CN=SERVER2,OU=ou4,DC=dc1,DC=dc2,DC=dc3:
        RestrictedKrbHost/SERVER2
        HOST/SERVER2
        RestrictedKrbHost/SERVER2.dc1.dc2.dc3
        HOST/SERVER2.dc1.dc2.dc3

C:\>nslookup server2
Server:  aa1.dc2.dc3
Address:  123.456.789.01

Name:    server2.dc1.dc2.dc3
Address:  12.345.6.78

C:\>nslookup 12.345.6.78
Server:  aa1.dc2.dc3
Address:  123.456.789.01

Name:    server2.dc2.dc3
Address:  12.345.6.78

比较成功与失败的 Weblogic 跟踪结果：

成功：

>>> DEBUG: ----Credentials----
        client: [email protected]
        server: cifs/[email protected]
        ticket: sname: cifs/[email protected]

失败：

>>>KRBError:
  ...
         error code is 7
         error Message is is Server not found in Kerberos database
         sname is cifs/[email protected]
         msgType is 30

所以我注意几点：

  • 成功的（RHEL 6）服务器在许多地方（但不是全部）省略了“dc1”
  • 成功和失败sname仅在服务器部分有所不同——否则它们会排列在“dc”值上。
  • 两台服务器位于不同的组织单位中（尽管我认为这不是问题）
  • 命令结果的大小写有一些差异
  • nslookup结果似乎有所不同，server2具体取决于是通过服务器名称（包括dc1）还是 IP 地址（不包括dc1）查找
redhat active-directory kerberos mitkerberos

3 个回答

  1. 这似乎是罪魁祸首：

        error Message is Server not found in Kerberos database
    sname is cifs/***********@***********

    要问的第一个问题是故障服务器是否在 AD 中具有适当的计算机帐户（并且它配置了 sssd 的事实并不一定意味着这取决于如何配置 sssd）。

    假设这存在，您可以使用setspnWindows 命令或 OpenLDAPldapsearch命令来检查该计算机对象是否存在适当的服务主体。如果我没记错的话，HOST/* SPN 就足够了，但如果不是（请查看有关该主题的 Microsoft 文档）可能需要 cifs/SPN。setspn命令可用于创建它们（给定尝试执行此操作的用户的适当权限）。

    下一步是确保 Linux 服务器上的 samba 配置已创建和访问 keytab，并确保上述 cifs/* 主体存在。

    我不是 AD 专家（只是在那里附加了一些 Linux 系统）所以这可能不是完整的列表，但希望 - 它给你一个开始。

    • 0

  2. 你用AD注册服务器了吗？如 - 您在 AD 用户和计算机中看到它吗？该消息可能是指未找到/注册您的系统。有时这是因为服务器的 DNS 名称与 AD 域名不同。

    另一个需要注意的是时钟。如果时钟远远不同步，很多事情都会因 kerberos 而中断。

    • 0
  3. Best Answer

    终于得到了这个工作。

    关键部分

    • 反向 DNS 必须匹配正向 DNS
    • 在某些情况下，必须显式添加 SPN（服务主体名称） - 仅加入 Active Directory 域并不总是注册所有必要的HOSTSPN。
    • 在某些情况下，可能还需要明确地将服务器与krb5.conf文件中的领域相关联。当您涉及多个 Kerberos 领域时，这似乎适用。注意：您必须重新启动 WebLogic 或重新启动服务器才能使更改krb5.conf生效。

    概括

    • 我相信“Kerberos 数据库”与“密钥分发中心”一起存在的情况是，对于 Windows，它是 Active Directory。

    • 正向和反向 dns 条目（如nslookup在 Windows 中所展示的）必须匹配。

      • 我相信反向 DNS 查找将用于获取服务器名，然后将用于查询 KDC 以验证服务器。

    • linux 服务器（可能是 MIT Kerberos？）和 Active Directory 之间必须存在双向信任关系。在 linux 端，这是通过 keytab 建立的。

    • 服务主体名称 (SPN) 的服务器部分在某些情况下可能与报告的 DNS 名称不匹配nslookup

      • 如果使用正确的凭据添加 SPN，这仍然可以工作。（编辑 - 经过进一步审查，这在我们的环境中没有说明 - 我混淆了哪个设置是原始设置）
      • 应该有一个 SPN（对于 samba，这将是一个HOSTspn）与nslookup. 在大多数情况下，当机器加入域时，应该自动添加正确的 HOST SPN，但在某些情况下，可能需要显式添加 SPN，例如setspn -A
      • 如果 DNS 无法解析 SPN 的服务器部分，则该 SPN 将无法使用。

    • DNSHostName正如所报告的那样，对于使事情正常进行powershell Get-ADComputer似乎并不重要。（请注意，这可能与报告的结果不同nslookup）

    • 服务主体可以出现在 Windows 端或 linux 端——它们不一定是镜像。

      • 例如，在 linux 端，我们会cifs/[email protected]在 samba 日志中看到 a，但在 Windows 中，既没有setspn -L server1也setspn -L server2从未显示过该 SPN。

    解决问题的过程：

    1. 我们从 Active Directory 中删除了 linux 服务器

    2. 我们修改了 dns 条目，以便nslookup按名称或 ip 使用返回相同的结果

    3. 我们在 linux 中重新创建了 keytab

      • 这允许 linux 信任 Active Directory，但反之则不行

    4. 我们将 linux 服务器重新加入 Active Directory

      • 在这个阶段，我们仍然无法在java中连接，但我们可以在Windows资源管理器中连接
      • 在这个阶段setspn -L server2包含 SPNHOST/server2.dc1.dc2.dc3但没有SPNHOST/server2.dc2.dc3

    5. setspn我们使用Windows 命令提示符添加了 SPN 。

      • 这需要域管理员或委派权限（我认为是机器主体）
      • setspn -A HOST/server2.dc2.dc3 server2$
      • 上面的命令使用机器帐户凭据创建一个新的服务主体

    不确定性

    仍然不完全清楚为什么 Windows 资源管理器总是有效，但我确实注意到 Java 有自己的 Kerberos 实现部分 - 因此这可能在需要显式注册附加 SPN 的要求中发挥作用。

    有趣的是，我们实际上发现涉及两个不同的 Kerberos 领域。

    1. DC1.DC2.DC3根据 Windows 命令确定echo %userdnsdomain%
    2. ccc.dc2.dc3由 linux 确定krb5.conf

    但是，一旦我们添加了最终的 SPN，我们就可以使用 Kerberos 领域（区分大小写）进行连接。

    最终配置

    工作的最终配置如下。一些 spns 可能是不必要的（例如，我认为RestrictedKrbHostspns 不是必需的，因为server1没有它们），而且我很确定，DNSHostName因为威慑Get-ADComputer与这个问题无关（因为它没有改变形式非工作和工作配置。）

    C:\> echo %userdnsdomain%
DC1.DC2.DC3

C:\> powershell Get-ADComputer server2
DistinguishedName : CN=SERVER2,OU=ou4,DC=dc1,DC=dc2,DC=dc3
DNSHostName       : server2.dc1.dc2.dc3
Enabled           : True
Name              : SERVER2
ObjectClass       : computer
ObjectGUID        : bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb
SamAccountName    : SERVER2$
SID               : ************************************
UserPrincipalName :

C:\>setspn -L server2
Registered ServicePrincipalNames for CN=SERVER2,OU=ou4,DC=dc1,DC=dc2,DC=dc3:
        HOST/server2.dc2.dc3
        RestrictedKrbHost/SERVER2
        HOST/SERVER2
        RestrictedKrbHost/SERVER2.dc1.dc2.dc3
        HOST/SERVER2.dc1.dc2.dc3

C:\>nslookup server2
Server:  aa1.dc2.dc3
Address:  123.456.789.01

Name:    server2.dc2.dc3
Address:  12.345.6.78

C:\>nslookup 12.345.6.78
Server:  aa1.dc2.dc3
Address:  123.456.789.01

Name:    server2.dc2.dc3
Address:  12.345.6.78

    在我们的例子中，当我们稍后将应用程序部署到在 RHEL7 上运行的 WebLogic 时：

    • ccc.dc2.dc3当我们在运行 MIT Kerberos的“linux”领域中指定用户时，我们再次得到“在 Kerberos 数据库中找不到服务器”

    • 当我们在“Active Directory”领域指定用户时，我们得到了“No Service Creds” DC1.DC2.DC3。

      • 解决方案是在 linux weblogic 服务器上进行修改/etc/krb5.conf，以将文件服务器与 Active Directory 领域显式关联，例如：
      [domain_realm]
server2.dc2.dc3 = DC1.DC2.DC3
    • 0

相关问题