kinit（v5）：获取初始凭据时在Kerberos数据库中找不到客户端

Question

我正在obiee11.1.1.7.14中配置SSO，其中我在配置krb5.conf和执行kinit命令时遇到了问题。

关于Active Directory的几点注意事项

• 我们有多个域控制器，为了平衡请求，我们使用端口3269维护负载均衡器。
• obiee和MSAD之间的集成成功完成，负载均衡器名称为主机，端口为3269。
• 并且在demotrust.jks和ovd存储中添加了一些证书，并且在新提供程序中启用了SSL。
• Keytab文件生成并放置在obiee域home中，krb5.conf和krb5Login.conf文件相应修改。

我创建了keytab文件并将其放在obiee域主目录中，然后修改了krb5.conf，将kdc作为域控制器的ip地址之一，将admin-server作为域控制器的名称之一

kinit-V-k-t/location/keytab文件。按键HTTP/obiee\u host\u name

我有和错误"kinit（v5）：客户端没有找到在Kerberos数据库中，同时获得初始凭据"。请分享您的想法/建议来解决这个问题。

提前感谢




Answer 1

首先，这是服务器故障。

1. 3269不是Kerberos，这是SSL支持的全局编录。纯LDAP而非Kerberos。这里不有趣

Answer 2

谢谢Michael-O的回复。

在讨论解决方案之前，我想发布一些关于Active Directory服务器类型和连接方式的信息。

我们有一个Active Directory服务器，其中使用了两个域控制器。带有3269端口的负载平衡器用于从OBIEE连接到Active directory，类似的连接可以在krb5.conf中使用，也可以在需要的地方使用。将基本域视为DOM1，我们所有的组都是在sub-domain SUBDOM下创建的。因此，SPN设置在SUBDOM.DOM1.COM。

以下是我们遵循的一些建议，以将AD与OBIEE集成并解决大部分kinit问题

>

a） 由于属性“crypto”在创建密钥表和设置SPN时被指定为“all”，因此密钥表文件中存在的所有加密类型将在krb5.conf中提及（default\u tkt\u enctypes和default\u tgs\u enctypes）。

b）在[realms]部分中包含属性kdc的主域控制器ip地址，这将与第2点中描述的Michael-O相同。

c） 在krb5.conf的[domain\u realm]中保留为.subdom.dom1.com=dom1.com。

d）在krb5.conf[realms]部分的admin_server属性中包含loadbalancer name的主机名

完成上述所有更改后，大多数kinit问题将得到解决，并且通过在所需目录中创建初始票据，kinit命令将成功执行。

谢谢