आईई लिनक्स पर मेरे जेबॉस को केर्बेरोज टिकट की जानकारी क्यों नहीं भेजता है?

Question

मैं एक विंडोज क्लाइंट और जेबॉस का उपयोग कर एसएसओ को लागू करने की कोशिश कर रहा हूं। मेरे विकास पीसी का मालिक है, जेबॉस विंडोज 7 पर विकास सर्वर पर चलता है, यह (रेड हैट) लिनक्स पर चलता है।

एक JBoss Negotiation Toolkit है जो मुझे यह जांचने की अनुमति देता है कि नकारात्मकता शीर्षलेख सही तरीके से आ रहा है या नहीं।

BasicNegotiation परीक्षण तब तक ठीक काम करता है जब तक मेरे पास localhost का उपयोग करके जेबॉस अपने पीसी पर चल रहा है। निगोशिएट YHgGBisGAQUFAqBuMGygMDAuBgorBgEEAYI3AgIK ...

- भेजा हैडर

Authorization: Negotiate YHgGBisGAQUFAqBuMGygMDAuBgorBgEEAYI3AgIKB... (प्लस कुछ और बाइट्स)

परीक्षण की प्रतिक्रिया

बातचीत टूलकिट बेसिक बातचीत WWW-प्रमाणित है

NegTokenInit संदेश ओड - SPNEGO Mech प्रकार - {NTLM} {करबरोस V5 विरासत} {करबरोस V5} {} 1.3.6.1.4.1.311.2.2.30 अनुरोध झंडे - Mech टोकन -TlRMTVNTUAABAAAAl7II4gQABAAyAAAACgAKACgAAAAGAbAdAAAAD0lQSUVWMTAwMjVJUElF Mech सूची माइक -

लेकिन पर लिनक्स सर्वर, एक ही परीक्षण काम नहीं करता है। आधार कारण (मुझे लगता है) कि हैडर अलग दिखता है:

Authorization: Negotiate TlRMTVNTUAABAAAAl4II4gAAAAAAAAAAAAAAAAAAAAAGAbAdAAAADw==

और फिर JBoss बातचीत टूलकिट NTML प्रमाणीकरण, करने के लिए एक fallback है जो मैं नहीं चाहता था और जो के रूप में प्रकट करता है वेबपैप के आउटपुट में त्रुटि।

बातचीत टूलकिट NTLM बातचीत WWW-प्रमाणित - निगोशिएट TlRMTVNTUAABAAAAl4II4gAAAAAAAAAAAAAAAAAAAAAGAbAdAAAADw ==

NTLM - Negotiate_Message चेतावनी, यह NTLM है, केवल SPNEGO समर्थित है! ध्वज वार्तालाप - (एन्क्रिप्शन 56 बिट) (clearKeyExchange) (sessionKeyExchange128 बिट) वार्तालाप वर्जन) (एनटीएलएम 2) (हमेशा साइन) (एनटीएलएम) (एलएमके) (साइन) (अनुरोध लक्ष्य) (ओम) (यूनिकोड) डोमेन नाम = शून्य - {लंबाई = 0 } {maxLength = 0} {ऑफसेट = 0} वर्कस्टेशन नाम = शून्य - {लंबाई = 0} {maxLength = 0} {ऑफसेट = 0} संस्करण -?

मैंने इंटरनेट एक्सप्लोरर और फ़ायरफ़ॉक्स दोनों को नेगोशिएशन हेडर भेजने के लिए कॉन्फ़िगर किया, और वे दोनों लिनक्स सर्वर के साथ विफल हो गए।

मैं क्या गलत कर रहा हूं?

वैसे: मैंने कहीं पढ़ा है कि विंडोज हमेशा स्थानीय मशीनों पर केर्बेरोज वार्तालाप शीर्षलेख भेजता है - क्या यह सच है?

Answer 1

जवाब के लिए धन्यवाद। हमारे मामले में समस्या यह थी कि हमारे पास दो विंडोज डोमेन हैं। मैं डोमेन बी में डोमेन ब्राउज़र में डोमेन ए में लिनक्स सर्वर तक पहुंचने का प्रयास कर रहा था। जाहिर है, यह काम नहीं करता है ...

Answer 2

ब्राउज़र एनटीएलएम टाइप -1 टोकन भेजता है क्योंकि केर्बेरोज विफल रहा है क्योंकि आपका एडी/DNS सेटअप गलत है। यह व्यवहार सही है। अपने DNS सेटअप को ठीक करें।

Answer 3

यहाँ क्या गलत हो सकता है की एक अच्छी सार है: https://www.pingidentity.com/support/answers/index.cfm/why-am-i-not-getting-a-kerberos-ticket?id=90640000000CaWgAAK

मैं हमेशा ब्राउज़र और सेवा के बीच संचार को देखने के लिए एक wireshark कब्जा करते हैं, और भी ब्राउज़र और ई के बीच। आपके मामले में समस्या बाद के साथ हो सकती है। उदाहरण के लिए एक बार मैंने सेवा के लिए http://myGoodLookingDNSAlias पता का उपयोग किया, जिसे http://realBadLookingServerName पर हल किया गया था, लेकिन मैं बाद वाले को पंजीकृत करना भूल गया। तो ब्राउज़र को एडी से KRB5KDC_ERR_S_PRINCIPAL_UNKNOWN त्रुटि मिली, और टिकट नहीं भेजा।

सादर, András

Answer 4

मेरा इंटरनेट एक्सप्लोरर एक केर्बेरोस के बजाय एनटीएलएम हैडर भेजता था। कारण: विंडोज़ को उसी होस्ट के लिए सुरक्षित रूप से सहेजा गया पासवर्ड था।

सुरक्षित में दर्ज उपयोगकर्ता और पासवर्ड मेरे विंडोज खाते में से एक जैसा नहीं था, लेकिन इससे कोई फर्क नहीं पड़ता। केवल सर्वर का नाम (यहां तक ​​कि पूर्ण योग्यता भी नहीं) प्रासंगिक था।

स्पष्टीकरण (जर्मन में) के लिए http://www.msxfaq.de/verschiedenes/kerberosbrowser.htm पर टैंक।