При использовании --negotiate with curl, требуется файл keytab?

Question

documentation, описывающий, как для подключения к конечной точке, обеспеченным Kerberos показывает следующее:

curl -i --negotiate -u : "http://<HOST>:<PORT>/webhdfs/v1/<PATH>?op=..." 

Флага -u должен быть обеспечен, но игнорируется завитком.

Опция --negotiate вызывает завиток для поиска ключевой строки, которая была создана заранее командой kinit, или будет завивать запрос на учетные данные?

Если он ищет файл keytab, то какое имя файла будет искать команда?

Answer 1

Быть одноразовым участником curl в этой области. Вот что вам нужно знать:

curl(1) сам ничего не знает о Kerberos и не будет взаимодействовать ни с вашим кешем учетных данных, ни с вашим файлом keytab. Он будет делегировать все вызовы реализации GSS-API, которые сделают вам волшебство. Какая магия зависит от библиотеки, Heimdal и MIT Kerberos.

Основываясь на вашем вопросе, я предполагаю, что у вас мало знаний о Kerberos и вы хотите просто автоматизировать обращения API к конечным точкам REST, защищенным SPNEGO.

Вот что вам нужно сделать:

1. Есть Unix-подобной ОС
2. Установка по крайней мере, MIT Kerberos 1,11
3. Установите по крайней мере curl 7.38.0 против MIT Kerberos
4. Проверьте это с curl --version с упоминанием GSS-API и SPNEGO и с ldd, связанным с вашей версией MIT Kerberos.
5. Создание клиента Keytab для основного сервиса с ktutil или mskutil
6. Try, чтобы получить TGT с этим клиента Keytab по kinit -k -t <path-to-keytab> <principal-from-keytab>
7. Проверьте с klist, что у вас есть кэш билет

Окружающая среда готова к работе:

8. Экспорт KRB5CCNAME=<some-non-default-path>
9. Экспорт KRB5_CLIENT_KTNAME=<path-to-keytab>
10. Invoke curl --negotiate -u : <URL>

MIT Kerberos обнаружит, что обе переменные окружения установлены, проверить их, автоматически получить TGT с Keytab, запросить билет службы и перейти к curl. Вы сделали.

Примечание: это не будет работать с Heimdal.

Answer 2

1. Проверить локон версия

   $ curl -V - Она должна поддерживать функцию "GSS-Negotiate"

2. Войти с использованием kinit

   $ kinit <user-id>

3. Использование свернуться

   $ curl --negotiate -u : -b ~/cookiejar.txt -c ~/cookiejar.txt http://localhost:14000/webhdfs/v1/?op=liststatus

   "--negotiate" опция позволяет SPNEGO

   опция "-u" требуется, но игнорируется (принцип указанный при Kinit используется)

   "-b" & "-c" параметры используются для хранения и отправки HTTP-файлов cookie.