Kerberos aes-256加密无效
服务器是RHEL7，Kerberos是AD (Windows)。我只是KDC的客户。
Arcfour工作良好，但当我将加密类型更改为aes-256并设置一个新的密钥选项卡时，kinit仍然有效，但kvno不起作用。即使用户似乎拥有有效的票证(以klist格式)，他也不能再启动服务了。
我无法访问Kerberos AD，但它似乎被正确地配置为使用aes-256，因为终端用户(在Windows计算机上)已经以这种加密类型请求票证。
我的krb5.
[libdefaults]
default_realm = TOTO.NET
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
default_tkt_enctypes = aes256-cts aes128-cts des-cbc-md5 des-cbc-crc
default_tgs_enctypes = aes256-cts aes128-cts des-cbc-md5 des-cbc-crc
permitted_enctypes = aes256-cts aes128-cts des-cbc-md5 des-cbc-crc
[realms]
TOTO.NET = {
kdc = kdc1.toto.net
kdc = kdc2.toto.net
admin_server = kdc1.toto.net
}
[domain_realm]
.toto.net = TOTO.NET
toto.net = TOTO.NET在这里，当我试图用kvno买到一张票时，我遇到了一些错误：
[2477332] 1493147723.961912: Getting credentials myuser@TOTO.NET -> nn/myserver@TOTO.NET using ccache FILE:/tmp/krb5cc_0
[2477332] 1493147723.962055: Retrieving myuser@TOTO.NET -> nn/myserver@TOTO.NET from FILE:/tmp/krb5cc_0 with result: -1765328243/Matching credential not found (filename: /tmp/krb5cc_0)
[2477332] 1493147723.962257: Retrieving myuser@TOTO.NET -> krbtgt/TOTO.NET@TOTO.NET from FILE:/tmp/krb5cc_0 with result: 0/Success
[2477332] 1493147723.962267: Starting with TGT for client realm: myuser@TOTO.NET -> krbtgt/TOTO.NET@TOTO.NET
[2477332] 1493147723.962274: Requesting tickets for nn/myserver@TOTO.NET, referrals on
[2477332] 1493147723.962309: Generated subkey for TGS request: aes256-cts/17DF
[2477332] 1493147723.962363: etypes requested in TGS request: aes256-cts, aes128-cts
[2477332] 1493147723.962504: Encoding request body and padata into FAST request
[2477332] 1493147723.962575: Sending request (1716 bytes) to TOTO.NET
[2477332] 1493147723.962725: Resolving hostname kdc1.TOTO.NET
[2477332] 1493147723.963054: Initiating TCP connection to stream ip_of_kdc1:88
[2477332] 1493147723.964205: Sending TCP request to stream ip_of_kdc1:88
[2477332] 1493147724.3751: Received answer (329 bytes) from stream ip_of_kdc1:88
[2477332] 1493147724.3765: Terminating TCP connection to stream ip_of_kdc1:88
[2477332] 1493147724.3846: Response was not from master KDC
[2477332] 1493147724.3879: Decoding FAST response
[2477332] 1493147724.3965: TGS request result: -1765328370/KDC has no support for encryption typeklist -ket mykeytab
Keytab name: FILE:nn.service.keytab
KVNO Timestamp Principal
---- ------------------- ------------------------------------------------------
1 01/01/1970 01:00:00 nn/myserver01@TOTO.NET (aes256-cts-hmac-sha1-96)
1 03/22/2017 16:34:55 nn/myserver02@TOTO.NET (aes256-cts-hmac-sha1-96)谢谢你的帮忙
回答 2
Stack Overflow用户
发布于 2017-05-10 15:02:02
请让AD管理员在与keytab关联的AD帐户上启用对AES-256加密类型的支持。要查找该帐户，请运行以下命令：
setspn -Q nn/myserver01@TOTO.NET输出将告诉您帐户的名称。它将以CN=xxx开头，其中"xxx“是AD帐户的名称。要在AD帐户上启用对AES-256加密类型的支持，请告诉AD管理员，必须选中“该帐户支持Kerberos AES 256位加密”复选框，该复选框位于account选项卡下，位于底部。
Stack Overflow用户
发布于 2020-10-04 18:10:38
我最近才遇到这个问题，所以才能解决。
对我们来说，AD使用的盐与Kerberos客户端默认使用的盐分不同。
也就是说，当使用ktutil: addent -password -p servicepuppetnp@AMER.EXAMPLE.COM -k 4 -e arcfour密码用于admspike_white@AMER.EXAMPLE.COM：
生成一个keytab文件，我可以使用它作为主体。鉴于：
ktutil: addent -password -p admspike_white@AMER.EXAMPLE.COM -k 1 -e -e 256-cts SHA1-96 admspike_white@AMER.EXAMPLE.COM密码：
没有生成允许kinit成功的keytab文件。(失败前)。
我不得不这么做：
ktutil: addent -password -p admspike_white@AMER.EXAMPLE.COM -k 1 -e -e 256-cts SHA1-96 admspike_white@AMER.EXAMPLE.COM密码：
告诉ktutil从AD DC获取盐信息。然后它使用正确的盐。它生成一个键签文件，该文件允许kinit成功。
https://stackoverflow.com/questions/43674331
复制相似问题
腾讯云开发者
