Gerrit 2.15.12-KerberosGSSAPI Active Directory-可能bug发送SPN

Question

运行在RHEL 7.5和Java 8上。Kerberos 5版本1.15.1。

我们看到了自2.11.10以来所有版本中都出现的这种设置的奇怪行为。

请注意，我无法发布直接日志或配置，因为我的公司阻止了此操作。

重现步骤

1） 配置 gerrit 以使用 kerberos

gerrit.config

[container]
javaHome = <path to JRE>
javaOptions = -Djava.security.auth.login.config=<path to jaas.conf>

[auth]
type = LDAP

[ldap]
authentication = GSSAPI
server = ldap://<AD Realm>
<.. other AD related stuff..>

jaas.conf文件

KerberosLogin {
    com.sun.security.auth.module.Krb5LoginModule
            required
            useTicketCache=true
            doNotPrompt=true
            renewTGT=true;
};

这是直接来自文档的。

2)在缓存中创建一个标签。3)尝试登录。它失败，并显示“在Kerberos数据库中找不到服务器(7)”。

如果您更改 jaas.conf 以尝试直接使用密钥表，它也会失败。

您可以使用用户名/密码直接访问LDAP，但由于公司的限制，我们不能在设备上保存未加密的密码，因此这不是一个可行的长期解决方案。

我们已经将流量的数据包捕获到AD领域，无论我们使用密钥卡还是缓存，我们都会看到相同的行为。

1） 对于 kinit，我们看到一个对 AD 的请求，其中 SPN 字段从密钥表中设置为 SPN。当然，这很好用。2） 对于来自 Gerrit 的任何请求，我们看到两个对 AD 的请求，第一个请求具有来自缓存/密钥选项卡的正确 SPN，第二个尝试发送 SPN “ldap/”，无论设置了什么 SPN 值。第二个请求是导致错误的原因，因为无法识别 SPN b AD。请注意，我们已经尝试了各种SPN（HTTP /设备，主机/设备，HTTP / device@等）的键表。每次都会发生同样的事情。

在我们的配置中，这很可能是非常简单的错误，但是我们已经为此苦恼了数周。

Answer 1

第二个请求很可能出现，因为您指定了 LDAP 服务器 ldap://

无法识别SPN是正常的，因为Active Directory通常不使用

另请注意，密钥表本质上是静态的未加密密码。