Kerberos和多个SPN

Question

我成功地为1台服务器设置了Kerberos身份验证，并且运行正常。现在我有一个项目，我必须在其中向Kerberos配置添加另一台服务器，如下所示：

1)广告服务器

2)运行服务的服务器1

3） 服务器 2，其中将运行相同的服务

所以我执行了 setpn 命令，将两者都评估为单个“spn”用户：

setspn-s服务X/[e-mail]特殊目的网络

setspn-s服务X/[e-mail]特殊目的网络

然后我执行了通信ktpass：

ktpass-princ serviceX/[e-mail]-ptype KRB5_NT_PRINCIPAL-crypto AES256-SHA1-映射用户服务X\spn-out C:\keytab rndPass

接下来我该怎么做才能让它工作？如何对server2执行ktpass？当我对server2尝试相同的命令时，我收到警告：

警告:无法将UPN serviceX/server2.domain.com p type 1 vno 10 etype 0x 12 kinit设置为“serviceX/server 2 . domain . com”将失败。

你们如何在不同的服务器上为相同的服务设置kerberos身份验证？您是否创建了2个spn用户和2个keytab？我想我需要把所有东西都放在一个键表中，因为服务需要它。有什么帮助吗？

Answer 1

通过使用绑定到目录中的用户帐户（而不是每个服务器）的 SPN，可以使用相同的密钥表在两个不同的服务器上运行 serviceX。为此，请将 SPN 绑定到虚拟服务器名称（也称为“VIP”），而不是真实名称。在我目前的组织中，我们一直在这样做。因此，由于 SPN 将在 DNS 中使用虚拟服务器名称，因此只需将负载平衡器配置为将对该虚拟名称的任何查询发送到其后面的真实服务器，以“应答”该名称。因此，在这种情况下，您不必担心 Server1 和 server2 都有唯一的密钥表，只需为我所说的 server-vip 创建一个密钥表，然后将相同的密钥表复制到两个服务器。如果您没有负载均衡器，则可以仅使用 DNS 轮循机制执行此操作。因此，下面的示例将是您的新密钥表创建语法，请注意只有一件事是如何变化的。这很好的另一个原因是因为它能够适应服务器的变化。当您最终停用服务器 1 和服务器 2 时，您可以在那一天到来时轻松地将密钥表复制到服务器 3 和 server4。

ktpass-princ serviceX/[e-mail]-ptype KRB5_NT_PRINCIPAL-crypto AES256-SHA1-映射用户服务X\spn-out C:\keytab rndPass