KerberosSPN被缓存在Windows服务器上？

Question

一直在我的 SSO 项目中集成 Kerberos 身份验证。遇到了一个奇特的场景。

我创建了一个新用户并为其附加了一个 SPN。按照这个问题的步骤进行操作，让一切正常。我的意思是：-

1. Kinit用户名 - 然后输入密码给了我票已保存的消息。
2. kinit spn（int 格式为 HTTP/FQDN） - 然后输入密码给了我勾选的消息已保存。

过了一段时间，我决定再试一次，所以我使用了命令

setspn -D spn username

从用户名分离spn。然后我从AD中删除了这个用户（用户名）。

接下来，我创建了一个新用户username1，并按照这个问题为这个新用户注册了与上述步骤相同的spn。

现在，kinit用户名1-输入密码后会显示票已保存的消息，然而kinit spn-输入密码时会显示错误

client not found in Kerberos database.

请注意，如果我使用不同的（新的）spn，一切都正常。

所以问题是，Windows服务器是否有某些缓存，其中某些链接仍然存在，因此我无法再次使用此spn？还是我在从用户处分离spn时犯了一些错误？

谢谢，尼基尔

Answer 1

回顾了你在聊天中写的内容，以及完整的问题历史，问题其实是两个问题。(1)在创建密钥表之前，您需要始终删除正在使用的SPN。(2)在ktpass.exe keytab创建命令中，您需要使用HTTP/vinw 12 sec 5225 . eqsec test . local的SPN来映射用户，而不是使用短登录名krbspn。此外，我将只做一个观察-你不需要把所有的帽子SPN。这使得它很难阅读，尽管为了连贯性，我没有改变它。只有Kerberos领域应该全部大写。根据您提供的信息，要解决这种情况，您应该执行以下命令:

1. setspn -d HTTP/VINW12SEC5225.EQSECTEST。本地 KRBSPN
2. ktpass /princ HTTP/VINW12SEC5225.EQSECTEST。LOCAL@EQSECTEST。LOCAL /ptype krb5_nt_principal /crypto All /mapuser [e-mail] /out c：\ticket\krbspn.keytab -kvno 0 /pass eQ@12345
3. klist -e -k -t c：\ticket\krbspn.keytab

作为参考，我在此处展示了当Microsoft Active Directory用作目录服务时如何创建键选项卡的示例：Kerberos键选项卡-解释。我还提供了每个ktpass.exe语法参数的附带解释。

为了帮助解决上述步骤后仍然可能出现的问题，然后使用记事本（不是普通记事本）右键单击并编辑您的键选项卡文件，只需复制键选项卡文件的内容（不要进行任何更改），然后检查结果。里面的密钥将被加密——没关系，看看SPN是如何在键选项卡中制定的。它应该与AD帐户上显示的SPN相匹配。当这些不匹配时，您将得到“客户端未在数据库中找到Kerberos”错误。还要确保应用程序服务器配置指向正确的键选项卡文件，如果键选项卡有任何更改，请重新启动应用程序服务。