使用mod_auth_kerb对ActiveDirectory和多个域进行Kerberos身份验证

Question

我们的环境如下：

• 我们有一个互相信任的ActiveDirectory服务器林。
• 我们有一个带有mod_auth_kerb的Linux Apache，可以对“主”AD服务器进行身份验证。

对于某些客户组合＆amp;域名，我们收到以下错误消息：

krb5_get_init_creds_password() failed: KRB5 error code 68

谷歌搜索说这个错误：

is being returned by Active Directory because your users are
attempting to obtain a Kerberos TGT for a realm that
is not hosted on the server to which they are authenticating.

有办法解决这个问题吗？

Answer 1

您错过了将所有必需的Realms / KDC添加到您的krb5.conf中。 GSSAPI无法获取未知领域的票证。 以上示例与我们的森林环境中的gssapi完美配合。

为了简化配置工作，您可以配置krb5.conf以查询DNS以查找KDC。这就是Windows的功能。