通过IP地址访问的网站时Kerberos失败(Kerberos fails when accessi

通过访问IP地址受保护的站点的Kerberos问题时出现。例如：

http:/10.10.1.x:3001/给出了故障。

http:/my-host:3001/ SSO成功完成。

Apache的错误日志中说：

SRC / mod_auth_kerb.c（1261）：客户10.10.1.x]获取creds为HTTP@10.10.1.x [客户10.10.1.x]使用gss_acquire_cred（）失败：未指定的GSS故障。次要代码可提供更多的信息（主要表项未找到）
SRC / mod_auth_kerb.c（1261）：客户10.10.1.x获取creds为HTTP @我的主机[调试] SRC / mod_auth_kerb.c（1407）：客户端10.10.1.x]使用KRB5 GSS验证客户端数据-API [调试] SRC / mod_auth_kerb.c（1423）：客户10.10.1.x]验证返回代码0

正如你可以看到的Kerberos试图找到HTTP@10.10.1.x或HTTP@my-host主体。对于这两个校长在创建虚拟的ActiveDirectory帐户。在密钥表文件中还包括两者：

KVNO Timestamp         Principal
---- ----------------- -----------------------------------------------------
   5 01/01/70 03:00:00 HTTP/10.10.1.x@MY_DOMAIN.LAN (ArcFour with HMAC/md5)

  11 09/04/12 12:03:01 HTTP/my-host@MY_DOMAIN.LAN (ArcFour with HMAC/md5)

作品的kinit对他们俩的。

在服务器上的Kerberos配置：

   Krb5Keytab /etc/krb5.keytab
   AuthType Kerberos
   KrbMethodNegotiate On
   AuthName "Kerberos Login"
   KrbAuthRealms MY_DOMAIN.LAN
   KrbVerifyKDC Off
   KrbMethodK5Passwd On
   Require valid-user

有人可能会猜测问题出在哪里？是否有可能在Kerberos的SSO使用的IP地址？

Answer 1:

Kerberos不与IP不会忽略工作，它仅依赖于域名和正确的DNS条目。

Answer 2:

在微软知识库文章也说，这是由设计：

https://support.microsoft.com/en-ca/kb/322979

上述KB的标题是：当您通过使用IP地址连接到SMB共享的Kerberos不使用