Python GSSExException:尝试使用kerberos票证进行身份验证时，找不到1.2.840.113554.1.2.2的凭据

我正在尝试对Jenkins实例进行身份验证，该实例配置为使用Python请求使用Kerberos SSO。身份验证失败，下面报告的堆栈跟踪出现在服务器端

klist

确认我有一张有效的机票。我可以通过启用GSS-API Kerberos SPNEGO功能的构建，使用cURL 7.59.0成功进行身份验证：

curl --negotiate --user : -k --verbose https://myjenkins.example.com/

我还尝试了

requests\u gssapi.httpspnegouth（）

，但失败与

requests\u gotiate

相同

我们非常感谢您提出的任何调试建议。这是我不熟悉的领域

我的Python代码：

import requests
import requests_negotiate

auth = requests_negotiate.HTTPNegotiateAuth()
response = requests.get('https://myjenkins.example.com', auth=auth, verify=False)
print (response.content)

出现在服务器上的堆栈跟踪：

GSSException: No credential found for: 1.2.840.113554.1.2.2 usage: Accept
    at sun.security.jgss.GSSCredentialImpl.getElement(GSSCredentialImpl.java:600)
    at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:317)
    at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:285)
    at org.codelibs.spnego.SpnegoAuthenticator.doSpnegoAuth(SpnegoAuthenticator.java:443)
    at org.codelibs.spnego.SpnegoAuthenticator.authenticate(SpnegoAuthenticator.java:281)
    at com.sonymobile.jenkins.plugins.kerberossso.ioc.SpnegoKerberosAuthenticationFactory$SpnegoKerberosAuthenticator.authenticate(SpnegoKerberosAuthenticationFactory.java:89)
Caused: java.io.IOException
    at com.sonymobile.jenkins.plugins.kerberossso.ioc.SpnegoKerberosAuthenticationFactory$SpnegoKerberosAuthenticator.authenticate(SpnegoKerberosAuthenticationFactory.java:91)
    at com.sonymobile.jenkins.plugins.kerberossso.KerberosSSOFilter.doFilter(KerberosSSOFilter.java:182)
    at hudson.util.PluginServletFilter$1.doFilter(PluginServletFilter.java:132)
    at net.bull.javamelody.MonitoringFilter.doFilter(MonitoringFilter.java:232)
    at net.bull.javamelody.MonitoringFilter.doFilter(MonitoringFilter.java:209)
    at net.bull.javamelody.PluginMonitoringFilter.doFilter(PluginMonitoringFilter.java:88)
    at org.jvnet.hudson.plugins.monitoring.HudsonMonitoringFilter.doFilter(HudsonMonitoringFilter.java:113)
    at hudson.util.PluginServletFilter$1.doFilter(PluginServletFilter.java:132)
    at jenkins.metrics.impl.MetricsFilter.doFilter(MetricsFilter.java:125)
    at hudson.util.PluginServletFilter$1.doFilter(PluginServletFilter.java:132)
    at hudson.util.PluginServletFilter.doFilter(PluginServletFilter.java:138)
    at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1652)
    at hudson.security.csrf.CrumbFilter.doFilter(CrumbFilter.java:49)
    at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1652)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:84)
    at hudson.security.UnwrapSecurityExceptionFilter.doFilter(UnwrapSecurityExceptionFilter.java:51)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:87)
    at jenkins.security.ExceptionTranslationFilter.doFilter(ExceptionTranslationFilter.java:117)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:87)
    at org.acegisecurity.providers.anonymous.AnonymousProcessingFilter.doFilter(AnonymousProcessingFilter.java:125)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:87)
    at org.acegisecurity.ui.rememberme.RememberMeProcessingFilter.doFilter(RememberMeProcessingFilter.java:135)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:87)
    at org.acegisecurity.ui.AbstractProcessingFilter.doFilter(AbstractProcessingFilter.java:271)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:87)
    at jenkins.security.BasicHeaderProcessor.doFilter(BasicHeaderProcessor.java:92)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:87)
    at org.acegisecurity.context.HttpSessionContextIntegrationFilter.doFilter(HttpSessionContextIntegrationFilter.java:249)
    at hudson.security.HttpSessionContextIntegrationFilter2.doFilter(HttpSessionContextIntegrationFilter2.java:67)
    at hudson.security.ChainedServletFilter$1.doFilter(ChainedServletFilter.java:87)
    at hudson.security.ChainedServletFilter.doFilter(ChainedServletFilter.java:90)
    at hudson.security.HudsonFilter.doFilter(HudsonFilter.java:171)
    at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1652)
    at org.kohsuke.stapler.compression.CompressionFilter.doFilter(CompressionFilter.java:49)
    at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1652)
    at hudson.util.CharacterEncodingFilter.doFilter(CharacterEncodingFilter.java:82)
    at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1652)
    at org.kohsuke.stapler.DiagnosticThreadNameFilter.doFilter(DiagnosticThreadNameFilter.java:30)
    at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1652)
    at org.eclipse.jetty.servlet.ServletHandler.doHandle(ServletHandler.java:585)
    at org.eclipse.jetty.server.handler.ScopedHandler.handle(ScopedHandler.java:143)
    at org.eclipse.jetty.security.SecurityHandler.handle(SecurityHandler.java:553)
    at org.eclipse.jetty.server.session.SessionHandler.doHandle(SessionHandler.java:223)
    at org.eclipse.jetty.server.handler.ContextHandler.doHandle(ContextHandler.java:1127)
    at org.eclipse.jetty.servlet.ServletHandler.doScope(ServletHandler.java:515)
    at org.eclipse.jetty.server.session.SessionHandler.doScope(SessionHandler.java:185)
    at org.eclipse.jetty.server.handler.ContextHandler.doScope(ContextHandler.java:1061)
    at org.eclipse.jetty.server.handler.ScopedHandler.handle(ScopedHandler.java:141)
    at org.eclipse.jetty.server.handler.HandlerWrapper.handle(HandlerWrapper.java:97)
    at org.eclipse.jetty.server.Server.handle(Server.java:499)
    at org.eclipse.jetty.server.HttpChannel.handle(HttpChannel.java:311)
    at org.eclipse.jetty.server.HttpConnection.onFillable(HttpConnection.java:257)
    at org.eclipse.jetty.io.AbstractConnection$2.run(AbstractConnection.java:544)
    at winstone.BoundedExecutorService$1.run(BoundedExecutorService.java:77)
    at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1149)
    at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:624)
    at java.lang.Thread.run(Thread.java:748)

詹金斯：2.60.3 请求：2.20.0

---

请求协商：1.5

我在使用npm kerberos包时遇到了相同的错误，我通过明确要求使用SPNEGO协议解决了这个问题，因为错误消息指出kerberos票证中缺少此协议的凭据。您说它适用于curl和SPNEGO，但既不适用于请求\u negotiate.HTTPNegotiateAuth（），也不适用于请求\u gssapi.httpspnegouth（）。我从文档或源代码中看不到requests\u negotiate使用的机制，因此我现在将继续使用requests\u gssapi，它还广泛使用日志记录。您从该日志中获得哪些日志消息

---

我觉得这更像是一个评论，但我没有评论的名声。

我在使用npm kerberos包时遇到了相同的错误，我通过明确要求使用SPNEGO协议来解决它，因为错误消息指出kerberos票证中缺少此协议的凭据。您说它适用于curl和SPNEGO，但既不适用于请求\u negotiate.HTTPNegotiateAuth（），也不适用于请求\u gssapi.httpspnegouth（）。我从文档或源代码中看不到requests\u negotiate使用的机制，因此我现在将继续使用requests\u gssapi，它还广泛使用日志记录。您从该日志中获得哪些日志消息

---

我觉得这更像是一个评论，但我没有评论的名声。

我的调试建议是，使用--verbose运行curl，并将原始请求/头与请求的结果进行比较。如果没有发现任何问题，您可以尝试使用python gssapi或类似的工具手动创建授权令牌——下面是一个代码示例，说明如何做到这一点：我也有同样的问题。它似乎与这个curl bug非常相似——因此我怀疑发送错误ticketMy调试建议的请求spnego代码中有一个bug，运行curl with--verbose，并将原始请求/头与请求中得到的结果进行比较。如果没有发现任何问题，您可以尝试使用python gssapi或类似的工具手动创建授权令牌——下面是一个代码示例，说明如何做到这一点：我也有同样的问题。它似乎与这个curl bug非常相似——因此我怀疑请求spnego代码中有一个bug发送了一个错误的票据