Active directory Kerberos/SPNEGO:同一AD帐户的多个SPN
在多个web服务器上部署相同的基于HTTP的应用程序（Active directory Kerberos/SPNEGO:同一AD帐户的多个SPN,active-directory,kerberos,tomcat8,jaas,spnego,Active Directory,Kerberos,Tomcat8,Jaas,Spnego,在多个web服务器上部署相同的基于HTTP的应用程序（srv1，srv2，等等）。使用SPNEGO auth保护应用程序。服务器是Linux，AD不知道它们的存在，即它们没有加入域。我让整个SPNEGO在一台主机上顺利运行。现在转到后续主机 我找到的大多数指南都会告诉你 广告中的叙述 SPN 密钥表（在AD服务器上生成，然后 移动到Linux主机） 虽然我相信（2）+（3）总是需要每个服务器，但我对（1）有些不确定。我只能用一个帐户吗？我真的不想有所有这些帐户在广告中，如果我能做的只有一个 有一
srv1srv2ktpasssrv1srv2srv3ktpass.exeuserPrincipalNamektpasssrv3userPrincipalName广告中的多个应用服务器+单个帐户是否可以工作？如果可以，如何工作？简言之，是的，它可以工作，我将告诉你如何工作。首先，让我们澄清一些问题或评论中没有正确描述的事情和陈述： 您有三台提供相同DNS名称的计算机，这意味着您有一个DNS循环：service.example.com将返回一个无序列表，如果IP或负载平衡器（硬排序）根据负载为a记录只返回一个IP。对于Kerberos，两种设置的结果是相同的。 现在，如果需要Kerberos身份验证，则不能说AD不知道服务或服务器的存在。它会而且必须知道，否则它将无法为您的客户端创建服务票证，这些服务票证将传递给服务器。此外，Tomcat允许KDC接受安全上下文，因为服务票证是使用帐户的长期密钥加密的 方法如下：您已经了解到一个SPN可以绑定到一台机器，不允许多个绑定。当您将机器名绑定到机器帐户（
srv1$my-service@EXAMPLE.COMCNAMEAservicePrincipalNamerdns=falsekrb5.conf祝你好运 不确定您的推理——JAAS配置文件定义了系统将呈现给KDC的主体（显式）和“散列密码”（来自keytab文件）。在您的情况下，KDC是Active Directory，AD不使用主体作为帐户ID。这就是
setspnuserPrincipalName