为什么我使用pyKerberos（authGSSClientStep）在SSO上获得“找不到凭据缓存”？

Question

我将SLES11与Python2.6和Apache Web应用程序一起使用。我有一个带有Kerberos的Active Directory服务器，我想将SSO与我的应用程序一起使用。

我已经在EXAMPLE. ORG域中创建了服务主体HTTP/host.example.org。此用户映射到虚拟用户[e-mail]。

Kerberos在Linux客户端上运行良好，我可以初始化服务主体

kinit-s HTTP/host.example。组织[e-mail]

klist公司

Ticket cache: FILE:/tmp/krb5cc_0
Default principal: [e-mail]

Valid starting     Expires            Service principal
09/28/15 14:27:27  09/28/15 14:37:27  HTTP/[e-mail]


Kerberos 4 ticket cache: /tmp/tkt0
klist: You have no tickets cached

my/etc/krb5.conf看起来像：

  1 [libdefaults]
  2         ticket_lifetime = 600
  3         default_realm = EXAMPLE.ORG
  4         kdc_req_checksum_type = 2
  5         checksum_type = 2
  6         ccache_type = 1
  7         clockskew = 300
  8
  9 [kdc]
 10         profile = /var/lib/kerberos/krb5kdc/kdc.conf
 11
 12 [logging]
 13         kdc = FILE:/var/log/krb5/kdc.log
 14         admin_server = FILE:/var/log/krb5/adm.log
 15         default = FILE:/var/log/krb5/log.log
 16
 17 [realms]
 18 EXAMPLE.ORG = {
 19         kdc = adserver.example.org:88
 20         admin_server = adserver.example.org:749
 21         default_domain = EXAMPLE.ORG
 22 }
 23
 24 [domain_realm]
 25         example.org = EXAMPLE.ORG
 26         .example.org = EXAMPLE.ORG
 27
 28 [login]
 29         krb4_convert = 0

 30 [appdefaults]
 31         pam = {
 32                 ticket_lifetime = 1d
 33                 renew_lifetime = 1d
 34                 forwardable = true
 35                 proxiable = false
 36                 minimum_uid = 1
 37                 clockskew = 300
 38                 external = sshd
 39                 use_shmem = sshd
 40         }

如果我通过apache和mod\u auth\u kerb使用身份验证，则SSO可以正常工作。但是我想对连接有更多的控制，因此禁用了apache身份验证，并用python（cherrypy框架）编写了自己的模块。

我安装了pyKerberos（Kerberos1.2.2不起作用，Python崩溃并出现分段故障）。

这里我的python代码：

import kerberos
import base64

service = 'HTTP'
hostname = 'host.example.org'
# env.log(kerberos.checkPassword('app.dmy', 'xxx', service, 'EXAMPLE.ORG')
''' for testing works fine '''
spn = kerberos.getServerPrincipalDetails(service, hostname)
''' result service principla from keytab 
    HTTP/[e-mail]'''
status, _ctxt = kerberos.authGSSClientInit(spn)
''' status = 1, _ctxt = context object '''
kerberos.authGSSClientStep(_ctxt, base64.b64encode(""))

我在日志中得到以下结果：

(('Unspecified GSS failure.  Minor code may provide more information', 851968), ('No credentials cache found', -1765328189))

高速缓存文件存在于tmp中，spn用kinit注册。

Answer 1

你说的程序不对。这是服务器端：GSSAPI接收器，用于验证HTTP客户端。您需要调用authGSSServer{Init，Step}；就正在进行的实际GSSAPI调用而言，gss\u accept\u sec\u context（）。您调用的是gss\u init\u sec\u context（），它抱怨在默认ccache中没有TGT形式的凭据可用于获取服务器票证。Kerberos中的服务器不需要相同类型的凭据；相反，他们有一个带有长期密钥的密钥表，不需要联系KDC来验证客户端。