В настоящее время я пытаюсь настроить Kerberos на нашем Apache и, к сожалению, не могу продвинуться дальше.
Доступ к веб-сайту (Typo3) на apache осуществляется как внутри, так и снаружи с помощью sub.domain.com.
Локальный домен — intern.local
Я создал файл keytab следующим образом:
ktpass -princ HTTP/sub.domain.com@INTERN.LOCAL -mapuser kerb@intern.local -pass P@55w0rd -crypto ALL -ptype KRB5_NT_PRINCIPAL -out C:\temp\kerbkey.keytab
Файл krb5.conf выглядит так:
[libdefaults]
default_realm = ВНУТРЕННЕЕ.МЕСТНОЕ
kdc_timesync = 1
ccache_type = 4
пересылаемый = правда
прокси = правда
[сферы]
ВНУТРЕННИЙ.МЕСТНЫЙ = {
kdc = dc01.intern.local
admin_server = dc01.intern.local
default_domain = внутренний.локальный
}
[область_домена]
.sub.domain.com = ВНУТРЕННИЙ.МЕСТНЫЙ
sub.domain.com = ВНУТРЕННИЙ.МЕСТНЫЙ
внутренний.местный = ВНУТРЕННИЙ.МЕСТНЫЙ
.intern.local = ВНУТРЕННИЙ.МЕСТНЫЙ
виртуальный хост Apache выглядит так:
<VirtualHost *:443>
ServerName sub.domain.com
ServerAdmin it-administration@domain.com
DocumentRoot /var/www/page
<Directory /var/www/page>
AllowOverride All
</Directory>
SSLEngine on
SSLCertificateFile /etc/apache2/ssl/wildcart-zert.crt
SSLCertificateKeyFile /etc/apache2/ssl/wildcart-key.key
<IfModule !mod_auth_gssapi.c>
LoadModule auth_kerb_module /usr/lib/apache2/modules/mod_auth_gssapi.so
</IfModule>
LimitRequestFieldSize 32768
<Location "/">
AuthName kerb@INTERN.LOCAL
AuthType GSSAPI
GssapiBasicAuth On
GssapiCredStore keytab:/etc/apache2/krb5/kerbkey.keytab
Require valid-user
</Location>
ErrorLog ${APACHE_LOG_DIR}/page-ssl_error.log
CustomLog ${APACHE_LOG_DIR}/page-ssl_access.log combined
</VirtualHost>
Теперь проблема в том, что если я активирую конфигурацию vhost таким образом, то при вызове страницы https://sub.domain.com, я всегда получаю всплывающее окно браузера для ввода имени пользователя и пароля. И что бы я ни печатал здесь, я не могу попасть на веб-страницу и просто получаю ошибку:
Неавторизованный
Этот сервер не смог проверить, что вы имеете право доступа к запрошенному документу. Либо вы указали неверные учетные данные (например, неверный пароль), либо ваш браузер не понимает, как предоставить требуемые учетные данные.
Сервер Apache/2.4.41 (Ubuntu) в порту 443 sub.domain.com.
Журнал ошибок apache показывает следующие записи:
[auth_gssapi:error] [pid 1632875] [client x.x.x.x:65394] ОШИБКА GSS при согласовании аутентификации: ошибка gss_accept_sec_context(): [Запрошен неподдерживаемый механизм (неизвестная ошибка)]
