Dopo aver configurato l'autenticazione Kerberos in Firefox:
H:\>klist
LogonId è 0:0x7ddc0
Biglietti memorizzati nella cache: (2)
#0>
Client: utente @ MIODOMAIN.LAN
Server: krbtgt/MYDOMAIN.LAN @ MIODOMAIN.LAN
Tipo di crittografia KerbTicket: AES-256-CTS-HMAC-SHA1-96
Flag ticket 0x40e10000 -> pre_authent iniziale rinnovabile inoltrabile name_canonicalize
Ora di inizio: 27/02/2020 14:33:53 (ora locale)
Ora di fine: 28/02/2020 0:33:53 (Locale)
Ora di rinnovo: 05/03/2020 14:33:53 (ora locale)
Tipo di chiave di sessione: AES-256-CTS-HMAC-SHA1-96
Indicatori della cache: 0x1 -> PRIMARY
KDC chiamato: SRVDC.MYDOMAIN.LAN
#1> Client: utente @ MYDOMAIN.LAN
Server: HTTP/srvwapt.MYDOMAIN.LAN @ MYDOMAIN.LAN
Tipo di crittografia KerbTicket: AES-256-CTS-HMAC-SHA1-96
Flag ticket 0x40a10000 -> forwardable renewable pre_authent name_canonicalize
Ora di inizio: 27/02/2020 14:33:53 (ora locale)
Ora di fine: 28/02/2020 0:33:53 (Locale)
Ora di rinnovo: 05/03/2020 14:33:53 (ora locale)
Tipo di chiave di sessione: AES-256-CTS-HMAC-SHA1-96
Indicatori della cache: 0
KDC chiamato: SRVDC.MYDOMAIN.LAN
Ho provato a reinstallare il file deb, ma è lo stesso...
Tuttavia, ho una domanda:
Quando configuro il server Firefox, devo assolutamente includere il mio nome di dominio? Che differenza fa se non lo faccio?
Perché non è lo stesso errore se non includo il mio nome di dominio.
Se inserisco il mio nome di dominio, ricevo un errore 403:
- 2020-02-27 14_34_21-403 Forbidden.png (7,55 KB) Visualizzato 11414 volte
Se non includo il mio nome di dominio, ricevo un errore 401:
- 2020-02-27 14_36_49-401 Authorization Required.png (9,9 KB) Visualizzato 11414 volte
Ho l'impressione che il problema si verifichi quando eseguo questo comando
Codice: Seleziona tutto
msktutil --server DOMAIN_CONTROLER --auto-update --keytab /etc/nginx/http-krb5.keytab --host $(hostname) -N
Utilizzando un prolisso - - ottengo questo:
Codice: Seleziona tutto
root@srvwapt:/home/wapt# msktutil --server srvdc --auto-update --keytab /etc/nginx/http-krb5.keytab --host $(home) -N --verbose
-- init_password: Wiping the computer password structure
-- generate_new_password: Generating a new, random password for the computer account
-- generate_new_password: Characters read from /dev/urandom = 91
-- create_fake_krb5_conf: Created a fake krb5.conf file: /tmp/.msktkrb5.conf-qimnoe
-- reload: Reloading Kerberos Context
-- get_short_hostname: Determined short hostname: srvwapt
-- finalize_exec: SAM Account Name is: srvwapt$
-- try_machine_keytab_princ: Trying to authenticate for srvwapt$ from local keytab...
-- try_machine_keytab_princ: Error: krb5_get_init_creds_keytab failed (Generic preauthentication failure)
-- try_machine_keytab_princ: Authentication with keytab failed
-- try_machine_keytab_princ: Trying to authenticate for srvwapt$ from local keytab...
-- try_machine_keytab_princ: Error: krb5_get_init_creds_keytab failed (Generic preauthentication failure)
-- try_machine_keytab_princ: Authentication with keytab failed
-- try_machine_keytab_princ: Trying to authenticate for host/srvwapt.microtec-agora.lan from local keytab...
-- try_machine_keytab_princ: Error: krb5_get_init_creds_keytab failed (Client not found in Kerberos database)
-- try_machine_keytab_princ: Authentication with keytab failed
-- try_machine_password: Trying to authenticate for srvwapt$ with password.
Crea comunque le voci in /etc/nginx/http-krb5.keytab... poiché il resto procede senza errori.
