如何使用Windows Java客户端保存Kerberos服务票证？

Question

我已经编写了一个在Windows下运行的简单JavaHTTP客户端。客户端与需要通过SPNego进行Kerberos身份验证的Web服务器进行通信。

我遇到了两个问题：

>

服务票证没有存储在我的凭据缓存中。执行请求后，我希望看到一个Kerberos服务票存储在我的凭据缓存下的C：\用户\

如果我在循环中运行100次以下的代码，它只运行n次（其中n是1到100之间的随机数）。失败的请求返回一条401错误消息，因为Java无法检索服务票证（请记住：由于我的应用程序不在请求之间存储服务票证，所以它会尝试为每个请求从TGT获取一个新的服务票证）。我已经在这个问题的底部添加了错误消息。

我在JDK的bin文件夹中通过kinit创建了一个TGT。以下代码段用于发出简单的GET请求：

  static void testJavaHttpKerberosAuthentication() throws IOException {
    URL obj = new URL(URI);
    HttpURLConnection con = (HttpURLConnection) obj.openConnection();
    int responseCode = con.getResponseCode();
    System.out.println("\nSending 'GET' request to URL : " + URI);
    System.out.println("Response Code : " + responseCode);

    BufferedReader in = new BufferedReader(
    new InputStreamReader(con.getInputStream()));
    String inputLine;
    StringBuffer response = new StringBuffer();
    while ((inputLine = in.readLine()) != null) {
      response.append(inputLine);
    }
    in.close();

    //print result
    System.out.println(response.toString());
  }

以下是我jaas.conf的内容（如下所述）：

com.sun.security.jgss.krb5.initiate {
com.sun.security.auth.module.Krb5LoginModule required doNotPrompt=false useTicketCache=true;
};

我用以下参数运行我的应用程序：

-Djava.security.auth.login.config=D:\jaas.conf
-Dsun.security.krb5.debug=true
-Djavax.security.auth.useSubjectCredsOnly=false

我不是在用krb5。ini，因为我的客户端从域配置中获得了正确的KDC。

我可以通过以下命令为我的凭据缓存生成TGT：

C:\Program Files\Java\jdk1.8.0_77\bin>kinit
Password for <user>@<domain>:
New ticket is stored in cache file C:\Users\<user>\krb5cc_<user>

最后，这里是授权失败时的异常和Kerberos调试输出（参考问题2）。请注意，ctime显然是错误的。我有过许多不同的尝试，ctime的时间跨度从1970年到2040年不等。有趣的是，并不是每个请求都会发生这种情况。

>>>KRBError:
 cTime is Wed Jun 07 12:24:03 CEST 2017 1496831043000
 sTime is Tue Mar 29 16:38:24 CEST 2016 1459262304000
 suSec is 283371
 error code is 34
 error Message is Request is a replay
 sname is HTTP/<spn>@<domain>
 msgType is 30
 KrbException: Request is a replay (34) - PROCESS_TGS

我已经尝试过使用Subject.doAs来处理JAAS，但是这会导致同样的问题。通过浏览器访问服务器运行良好（尽管这不是可比性，因为浏览器使用的是Windows本地凭据缓存AFAICT）。

对于如何调试这样的问题，我非常感谢您的建议。

编辑：通过KRB5CCNAME环境变量显式指定凭据缓存的路径不会更改行为。TGT似乎是从凭据缓存中获取的，但服务票证没有存储在那里。




Answer 1

JAAS不会将票据持久化到缓存中，您必须使用kinit或通过代码以编程方式调用kinit代码。我在这里写了一个关于这个问题的问答。

Answer 2

关于偶尔出现的随机时间值：我们发现在krb5中设置udp_preference_limit=1。ini解决了这个问题。这有效地告诉Kerberos始终尝试先使用TCP发送包。显然，切换到UDP时存在问题（不确定是UDP还是协议之间的切换）。

Answer 3

关于缓存

• 您的kinit版本显然使用了Linux标准，即文件：
• Java通常使用Windows标准，即MIT Kerberos for Windows服务管理的API:

可能的解决方法：在Windows上使用Kerberos UI创建TGT，或者通过设置KRB5CCNAME强制Java使用文件缓存。

参考：MIT Kerberos文档，尤其是关于硬编码默认值的最后一个链接

~~~~~~~

关于随机时间值