我在 centos vm 中有一个 ldap 服务器 + kerberos 设置(使用 boot2docker vm 运行)并且我正在尝试将它们用于我的 Web 应用程序身份验证(来自主机 - 我的 macbook)。
对于身份验证,我需要使用“GSSAPI”机制,而不是简单的绑定(bind)。 “简单绑定(bind)”工作正常,但基于“GSSAPI”的方法不起作用。
每当我尝试“ldapwhoami”命令时,我都会收到以下错误(我在运行 ldapwhoami 之前运行了“kinit”以确保我有有效的 kerberos TGT)
ldap_sasl_interactive_bind_s: Local error (-2)
additional info: SASL(-1): generic failure: GSSAPI Error: Miscellaneous failure (see text (unable to reach any KDC in realm DEV.EXAMPLE.COM, tried 1 KDC)
请注意,LDAP 服务器和 kerberos 服务器端运行良好,这意味着我在安装了 ldap 服务器 + kerberos 的 centos VM 中使用诸如“ldapsearch”、“ldapwhoami”之类的东西对它们进行了测试,它工作正常。我能够看到他们的正确输出。
只有当我从我的笔记本电脑(客户端)尝试相同的命令时,我才会收到错误(上述错误)。
注意:即使我从笔记本电脑创建了主机主体 (host/[email protected]) 并使用“kadmin”将其添加到我的本地 krb5.keytab 文件中。
以下是我的客户端配置:
客户端 (macbook) 中的/etc/krb5.conf 文件:
[libdefaults]
default_realm = DEV.EXAMPLE.COM
ticket_lifetime = 24000
dns_lookup_realm = false
dns_lookup_kdc = false
[realms]
DEV.EXAMPLE.COM = {
kdc = d4dc7089282c
admin_server = krb.example.com
}
[domain_realm]
.dev.example.com = DEV.EXAMPLE.COM
dev.example.com = DEV.EXAMPLE.COM
.example.com = DEV.EXAMPLE.COM
example.com = DEV.EXAMPLE.COM
[appdefaults]
pam = {
debug = false
ticket_lifetime = 36000
renew_lifetime = 36000
forwardable = true
krb4_convert = false
}
[logging]
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmin.log
客户端(macbook)中的/etc/hosts 文件:
127.0.0.1 localhost
192.168.59.3 mymacbook.dev
255.255.255.255 broadcasthost
::1 localhost
192.168.59.103 ldapserver.example.com
192.168.59.103 d4dc7089282c
192.168.59.103 krb.example.com
192.168.59.103 是我的 boot2docker vm ip,我正在所有与 LDAP 和 kerberos 相关的默认端口(88、389、464 和 749)上进行从 boot2docker vm 到 docker 镜像的端口转发
知道为什么我会收到此错误吗?
ldap_sasl_interactive_bind_s: Local error (-2)
additional info: SASL(-1): generic failure: GSSAPI Error: Miscellaneous failure (see text (unable to reach any KDC in realm DEV.EXAMPLE.COM, tried 1 KDC)
它与DNS或其他什么有关吗?有什么建议么?
最佳答案
您需要多种方式才能从外部访问容器化 KDC。
假设您使用的是默认端口 88,还假设您的图像名为 docker-kdc。
EXPOSE 88
ENTRYPOINT ["/usr/lib/heimdal-servers/kdc", "--config-file=/etc/heimdal-kdc/kdc.conf", "-P 88"]
docker run -d -h kdc --name kdc -p 48088:88/udp -p 48088:88 docker-kdc
从现在开始,您的 KDC 应该可以从主机系统内访问。
=== 仅限 OSX ===
VBoxManage controlvm boot2docker-vm natpf1 "48088/tcp,tcp,127.0.0.1,48088,,48088"
VBoxManage controlvm boot2docker-vm natpf1 "48088/udp,udp,127.0.0.1,48088,,48088"
127.0.0.1
。 boot2docker ip
请注意,您必须用步骤 5 的结果替换 IP。
export KRB5_CONF=PATH_TO_THE_KRB5.CONF_FILE_FROM_STEP_6
kinit test/[email protected]
由于我必须为我的一个项目执行此操作,因此我将其全部打包成一些可能对您的进一步研究有所帮助的小脚本;
https://github.com/tillt/docker-kdc
关于ldap - openldap + kerberos - 无法访问领域中的任何 KDC,我们在Stack Overflow上找到一个类似的问题:https://stackoverflow.com/questions/27053539/