Ошибка Tomcat Kerberos Spnego

Я пытаюсь настроить WebSSO для Tomcat 7.0.69 с помощью встроенного аутентификатора SPNEGO поверх Kerberos. Когда я обращаюсь к приложению, появляется диалоговое окно HTTP BasicAuth и запись debug написана в файле catalina.out (см. Ниже).Ошибка Tomcat Kerberos Spnego

Мой Keytab файл sso.keytab содержит основной, который зарегистрирован на моем AD-сервере (через Ktpass.exe & Setspn.exe).

Я включил режим отладки для Kerberos, но я не могу найти проблему. Он просто останавливается в какой-то момент с . Вход в систему. Есть ли у вас какие-либо идеи, на каком этапе аутентификация прекращается и что может быть причиной этого? Любая помощь приветствуется!

catalina.out

Debug is true storeKey true useTicketCache false useKeyTab true doNotPrompt false ticketCache is null isInitiator true KeyTab is /path/to/tomcat/apache-tomcat-7.0.69/conf/sso.keytab refreshKrb5Config is false principal is HTTP/[email protected] tryFirstPass is false useFirstPass is false storePass is false clearPass is false 
Looking for keys for: HTTP/[email protected] 
Added key: 23version: 0 
Looking for keys for: HTTP/[email protected] 
Added key: 23version: 0 
default etypes for default_tkt_enctypes: 23 17. 
>>> KrbAsReq creating message 
>>> KrbKdcReq send: kdc=server001.my.domain UDP:88, timeout=30000, number of retries =3, #bytes=171 
>>> KDCCommunication: kdc=server001.my.domain UDP:88, timeout=30000,Attempt =1, #bytes=171 
>>> KrbKdcReq send: #bytes read=189 
>>>Pre-Authentication Data: 
    PA-DATA type = 11 
    PA-ETYPE-INFO etype = 23, salt = 

>>>Pre-Authentication Data: 
    PA-DATA type = 19 
    PA-ETYPE-INFO2 etype = 23, salt = null, s2kparams = null 

>>>Pre-Authentication Data: 
    PA-DATA type = 2 
    PA-ENC-TIMESTAMP 
>>>Pre-Authentication Data: 
    PA-DATA type = 16 

>>>Pre-Authentication Data: 
    PA-DATA type = 15 

>>> KdcAccessibility: remove server001.my.domain 
>>> KDCRep: init() encoding tag is 126 req type is 11 
>>>KRBError: 
    sTime is Thu Dec 15 15:35:42 CET 2016 1481812542000 
    suSec is 830454 
    error code is 25 
    error Message is Additional pre-authentication required 
    sname is krbtgt/[email protected] 
    eData provided. 
    msgType is 30 
>>>Pre-Authentication Data: 
    PA-DATA type = 11 
    PA-ETYPE-INFO etype = 23, salt = 

>>>Pre-Authentication Data: 
    PA-DATA type = 19 
    PA-ETYPE-INFO2 etype = 23, salt = null, s2kparams = null 

>>>Pre-Authentication Data: 
    PA-DATA type = 2 
    PA-ENC-TIMESTAMP 
>>>Pre-Authentication Data: 
    PA-DATA type = 16 

>>>Pre-Authentication Data: 
    PA-DATA type = 15 

KrbAsReqBuilder: PREAUTH FAILED/REQ, re-send AS-REQ 
default etypes for default_tkt_enctypes: 23 17. 
Looking for keys for: HTTP/[email protected] 
Added key: 23version: 0 
Looking for keys for: HTTP/[email protected] 
Added key: 23version: 0 
default etypes for default_tkt_enctypes: 23 17. 
>>> EType: sun.security.krb5.internal.crypto.ArcFourHmacEType 
>>> KrbAsReq creating message 
>>> KrbKdcReq send: kdc=server001.my.domain UDP:88, timeout=30000, number of retries =3, #bytes=254 
>>> KDCCommunication: kdc=server001.my.domain UDP:88, timeout=30000,Attempt =1, #bytes=254 
>>> KrbKdcReq send: #bytes read=104 
>>> KrbKdcReq send: kdc=server001.my.domain TCP:88, timeout=30000, number of retries =3, #bytes=254 
>>> KDCCommunication: kdc=server001.my.domain TCP:88, timeout=30000,Attempt =1, #bytes=254 
>>>DEBUG: TCPClient reading 1666 bytes 
>>> KrbKdcReq send: #bytes read=1666 
>>> KdcAccessibility: remove server001.my.domain 
Looking for keys for: HTTP/[email protected] 
Added key: 23version: 0 
>>> EType: sun.security.krb5.internal.crypto.ArcFourHmacEType 
>>> KrbAsRep cons in KrbAsReq.getReply HTTP/my.host.com 
principal is HTTP/[email protected] 
Will use keytab 
    [LoginContext]: login success 
Commit Succeeded 

    [LoginContext]: commit success 
Found KeyTab /path/to/tomcat/apache-tomcat-7.0.69/conf/sso.keytab for HTTP/[email protected] 
Found KeyTab /path/to/tomcat/apache-tomcat-7.0.69/conf/sso.keytab for HTTP/[email protected] 
Found ticket for HTTP/[email protected] to go to krbtgt/[email protected] expiring on Fri Dec 16 01:35:42 CET 2016 
Entered SpNegoContext.acceptSecContext with state=STATE_NEW 
SpNegoContext.acceptSecContext: receiving token = a0 82 13 79 30 82 13 75 a0 30 30 2e 06 09 2a 86 48 86 f7 12 01 02 02 
SpNegoToken NegTokenInit: reading Mechanism Oid = 1.2.840.113554.1.2.2 
SpNegoToken NegTokenInit: reading Mechanism Oid = 1.2.840.48018.1.2.2 
SpNegoToken NegTokenInit: reading Mechanism Oid = 1.3.6.1.4.1.311.2.2.30 
SpNegoToken NegTokenInit: reading Mechanism Oid = 1.3.6.1.4.1.311.2.2.10 
SpNegoToken NegTokenInit: reading Mech Token 
SpNegoContext.acceptSecContext: received token of type = SPNEGO NegTokenInit 
SpNegoContext: negotiated mechanism = 1.2.840.113554.1.2.2 
Entered Krb5Context.acceptSecContext with state=STATE_NEW 
Looking for keys for: HTTP/[email protected] 
Added key: 23version: 0 
     [Krb5LoginModule]: Entering logout 
     [Krb5LoginModule]: logged out Subject 
    [LoginContext]: logout success

получил маркер будет намного дольше, я укоротил

krb5.ini

[libdefaults] 
    default_realm = MY.DOMAIN 
    default_keytab_name = FILE:/path/to/tomcat/apache-tomcat-7.0.69/conf/sso.keytab 
    default_tkt_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96 
    default_tgs_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96 
    permitted_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96 

[realms] 
    MY.DOMAIN = { 
     kdc = server001.my.domain 
     admin_server = server001.my.domain 
     default_domain = MY.DOMAIN 
} 

[domain_realm] 
    .my.domain = MY.DOMAIN 
    my.domain = MY.DOMAIN

jaas.conf

spnego-client { 
    com.sun.security.auth.module.Krb5LoginModule required; 
}; 

spnego-server { 
    com.sun.security.auth.module.Krb5LoginModule required 
    storeKey=true 
    useKeyTab=true 
    keyTab="/path/to/tomcat/apache-tomcat-7.0.69/conf/sso.keytab" 
    principal="HTTP/[email protected]" 
    debug=true; 
};

web.xml

<login-config> 
    <auth-method>SPNEGO</auth-method> 
</login-config> 

<security-constraint> 
    <web-resource-collection> 
    <web-resource-name>SSO Login</web-resource-name> 
    <url-pattern>/*</url-pattern> 
    </web-resource-collection> 
    <auth-constraint> 
    <role-name>*</role-name> 
    </auth-constraint> 
</security-constraint>

Архитектура

AD сервер Windows Server 2016
сервер приложения Unix-Redhat6 с Oracle JVM и Tomcat 7.0.69
Клиент Windows 10 с Internet Explorer 11

источник

2016-12-20 user2043423

Можем ли мы получить более подробную информацию о вашей архитектуре - на какой ОС работает Tomcat и работает ли она на (надеюсь) отдельном сервере с контроллера домена Active Directory (AD)? Какая версия ОС и веб-браузер/версия - ваш клиент работает/работает? Какая версия AD у вас есть? Я чувствую, что вызывает сообщение «PREAUTH FAILED/REQ», но я хотел сначала получить эти данные от вас. –

@ T-Heron благодарит вас за ответ! Я добавил информацию к описанию. Я не знаю версия AD. Сообщение «PREAUTH FAILED/REQ» появляется также в моей тестовой среде, где работает аутентификация, поэтому я решил, что это может быть неактуально. – user2043423

Сообщение «PREAUTH FAILED/REQ» может быть неудачно из-за нескольких причин Один из которых - проблемный сервер, не использует правильный keytab. Можете ли вы его проверить?На этом сервере Tomcat, в том же каталоге, что и сам keytab, запустите эту команду, чтобы узнать, можете ли вы вытащить билет Kerberos с помощью keytab: _kinit -V -k -t /path/to/tomcat/apache-tomcat-7.0 .69/conf/sso.keytab HTTP/[email protected]_ –

Благодаря T-Heron, я смог найти решение. Файл keytab был сгенерирован с неправильным типом шифрования. Для Windows7/10, и в моей среде он должен быть явно установлен в AES256-SHA1

Правильный вызова Ktpass:

ktpass -out D:\TEMP\sso.keytab -mapuser MYUSER -princ HTTP/[email protected] -ptype KRB5_NT_PRINCIPAL -kvno 0 -crypto AES256-SHA1 -pass ****

Большое спасибо за поддержку !!!

источник

2017-01-04 14:43:58 user2043423

Замечательно! –

ответ

Смежные вопросы