"Ошибка обнаруженного дефекта" (NTLM не Kerberos) с Kerberos/Spring Безопасность /IE/Active Directory

У нас возникли проблемы с получением Spring Security/Kerberos/AD для работы в нашем веб-приложении. Наш диагноз заключается в том, что наш сервер AD отправляет токен NTLM (мы можем сказать, что он начинается с "TlRMTVNT....." ) в IE и IE затем отправляет это в наше приложение, и он не работает. Наш сервер AD должен отправлять токен Kerberos/SPNEGO в IE.

Мы установили все, как описано в инструкциях здесь:

Когда мы запустили наш TC-сервер, мы увидели, что элементы, инициализирующие красиво (т.е. без ошибок - "ключ принципа", полученный из keytab):

Готовый к тестированию, мы включили "Интегрированную проверку подлинности Windows" в IE и удостоверились, что домен был указан в разделе сайта локальной сети IE. Затем мы подключились к нашему веб-приложению, используя полное доменное имя.

Когда мы это сделали, мы получили следующие ошибки в браузере:

Кажется (из того, что мы можем понять), что сервер AD отправляет токен NTLM (мы можем сказать, что он начинается с "TlRMTVNT....." ) в IE и IE затем отправляет это в наше приложение и он не работает.

Наш сервер AD должен отправлять токен Kerberos/SPNEGO в IE.

Ответы

Ответ 1

Это может произойти, если вы запускаете клиент и сервер на одном компьютере. Когда вы используете IE для общения с машиной, работающей с tomcat, убедитесь, что это разные машины.

Кроме того, вам необходимо убедиться, что серверный сервер подключен к домену, указанному в keytab (testdomain.ourcompany.co.uk), или вы можете вернуться к NTLM. Ваш keytab все еще может работать, даже если ваш сервер находится на машине, не подключенной к домену (вы увидите хороший расшифрованный keytab, который вы показали), но IE может запутаться и не сделать правильную вещь.

AD действительно очень любит говорить arcfour-hmac для Server 2003, поэтому вам нужно убедиться, что вы правильно установили его в файле krb5.ini.

Вы можете правильно создать keytab следующим образом:

C:\>ktpass -princ HTTP/[email protected] -mapuser [email protected] -crypto RC4-HMAC-NT -ptype K
RB5_NT_PRINCIPAL -pass * -out ourweb.keytab
Targeting domain controller: test-dc.ourcompany.co.uk
Using legacy password setting method
Successfully mapped HTTP/[email protected] to ourweb.testdomain.ourcompany.co.uk.
Key created.
Output keytab to ourweb.keytab:
Keytab version: 0x502
keysize 75 HTTP/[email protected] ptype 1 (KRB5_NT_PRINCIPAL)
vno 3 etype 0x17 (RC4-HMAC) keylength 16 (0x0fd0e500225c4fca9a63a9998b17ca32)

Я не видел, что вы создали файл krb5.ini. Вам нужно будет правильно установить это на своей серверной машине (местоположение по умолчанию C:\WINDOWS\krb5.ini):

[domain_realm]  
    .testdomain.ourcompany.co.uk = TESTDOMAIN.OURCOMPANY.CO.UK
    testdomain.ourcompany.co.uk = TESTDOMAIN.OURCOMPANY.CO.UK

[libdefaults]   
    default_realm = TESTDOMAIN.OURCOMPANY.CO.UK
    permitted_enctypes = aes128-cts aes256-cts arcfour-hmac-md5 
    default_tgs_enctypes = aes128-cts aes256-cts arcfour-hmac-md5 
    default_tkt_enctypes = aes128-cts aes256-cts arcfour-hmac-md5 

[realms]    
VERDAD.LOCAL = {        
    kdc = test-dc.ourcompany.co.uk  
    admin_server = test-dc.ourcompany.co.uk
    default_domain = TESTDOMAIN.OURCOMPANY.CO.UK
}

Вам также может потребоваться установить следующие свойства (если вы пытаетесь запустить это из среды IDE):

<systemProperties>
  <java.security.krb5.kdc>test-dc.ourcompany.co.uk</java.security.krb5.kdc>
  <java.security.krb5.realm>TESTDOMAIN.OURCOMPANY.CO.UK</java.security.krb5.realm>
</systemProperties>

Я использовал плагин org.codehaus.mojo для maven, который устанавливает их в файле pom следующим образом:

<build>
  <plugins>
    <plugin>
      <groupId>org.codehaus.mojo</groupId>
      <artifactId>tomcat-maven-plugin</artifactId>
      <configuration>
        <server>tomcat-development-server</server>
        <port>8080</port>
        <path>/SecurityTest</path>
        <systemProperties>
          <java.security.krb5.kdc>test-dc.ourcompany.co.uk</java.security.krb5.kdc
          <java.security.krb5.realm>TESTDOMAIN.OURCOMPANY.CO.UK</java.security.krb5.realm>
        </systemProperties>
      </configuration>
    </plugin>
  </plugins>
</build>

Ответ 2

Я также столкнулся с этой проблемой. Для тех, кому не повезло, у кого будет эта проблема в будущем, другой причиной этой проблемы является обращение к серверу с помощью ip вместо него. Запись (имя хоста)

Ответ 3

У меня также была такая же проблема, и я очень долго искал преступника. Поэтому, если вы сделали все вышеописанное и все еще используете токен NTLM вместо kerberos. убедитесь, что у вас нет дубликата SPN. в моем случае у меня было 2 аккаунта, сопоставленных с одним SPN, и причина в том, что я ранее запускал отдельное веб-приложение на том же сервере, которое использовало другую учетную запись службы, но сопоставлено с тем же SPN, что и HTTP/

Надеюсь, что это поможет