Linux环境中的Kerberos身份验证NGINX返回403 Unauthorized

Question

我正试图在Ubuntu（18.04）上安装一个nginx服务器（1.19.0），该服务器使用当前版本的spnego http auth nginx模块。

我成功地用spnego模块构建了nginx，它在没有启用auth_gss的情况下按预期工作。

我按照ifad的fork中的说明设置了我的keytab文件。

使用此keytab文件，当我运行命令时

kinit -5 -V -k -t /usr/local/nginx/krb5.keytab HTTP/deneme.aaa.com

我成功地得到了消息

Using default cache: /tmp/krb5cc_1000
Using principal: HTTP/[e-mail]
Using keytab: krb5.keytab
Authenticated to Kerberos v5

klist-kkrb5.keytab命令显示

Keytab name: FILE:krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   4 host/[e-mail]
   6 HTTP/[e-mail]

user  root root;                                             
worker_processes  1;                                         
                                                             
#pid        logs/nginx.pid;                                  
                                                             
events {                                                     
    worker_connections  1024;                                
}                                                            
                                                             
http {                                                       
    include       mime.types;                                
    default_type  application/octet-stream;                  
                                                             
    sendfile        on;                                      
                                                             
    # HTTPS server                                           
    #                                                        
    server {                                                 
        listen       443 ssl;                                
        server_name  deneme.aaa.com;              
                                                             
        ssl_certificate      /home/user/public.crt;  
        ssl_certificate_key  /home/user/private.rsa; 
                                                             
        ssl_session_cache    shared:SSL:1m;                  
        ssl_session_timeout  5m;                             
                                                             
        location / {                                         
            root   html;                                     
            index  index.html index.htm;                     
            auth_gss on;                                     
            auth_gss_allow_basic_fallback off;               
        }                                                    
    }                                                        
}                                                            

根据上面的配置，当我点击页面时https://deneme.aaa.com，我在输入任何登录提示时收到403个未经授权的错误。日志/错误中没有日志。日志在访问中。日志

192.168.106.1 - - [24/Jun/2020:11:26:29 +0300] "GET / HTTP/1.1" 401 581 "-" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36"
192.168.106.1 - - [24/Jun/2020:11:26:29 +0300] "GET / HTTP/1.1" 403 555 "-" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36"

当我

auth_gss_allow_basic_fallback on;      

出现登录提示，使用正确的凭据我可以访问索引页面，但这是因为基本身份验证有效。

当我从浏览器点击页面并在客户端计算机上运行klist时，我可以看到Kerberos票证已发出。

可能是什么原因？我应该使用旧版本的nginx吗？

亲切的问候

Answer 1

Keytab文件包括使用AES256-SHA1加密创建的主体。但是，我忘记选中Active Directory用户和计算机中的此帐户支持kerberos aes256位加密复选框。所以客户端试图将RC4-HMAC加密的Kerberos票证发送到NGINX。

选中此选项解决了问题。

希望这有帮助。