使用Kerberos Keytab自动化realmd加入AD时为何提示Administrator密码？

核心问题分析 #

sudo执行realm join时提示Administrator密码，本质是root环境下无法读取当前用户的Kerberos凭证缓存，或者realmd未识别到有效凭证。以下是针对性的解决步骤：

1. 配置sudo保留Kerberos环境变量 #

sudo默认会重置大部分环境变量，包括存储Kerberos缓存路径的KRB5CCNAME，导致root无法读取你初始化的凭证。

• 编辑sudo配置文件（用visudo避免语法错误）：

  sudo visudo -f /etc/sudoers.d/krb5
  

• 添加以下内容并保存：

  Defaults env_keep += "KRB5CCNAME"
  

2. 统一Kerberos缓存路径并验证凭证 #

为确保root能访问到凭证，指定一个全局可读写的缓存路径：

• 设置环境变量并初始化Kerberos凭证：

  export KRB5CCNAME=/tmp/krb5cc_shared
  kinit -k -t /path/to/your.keytab user@DOMAIN.COM  # 注意域名大写，AD Kerberos要求
  

• 验证root环境下能读取凭证：

  sudo klist
  

  输出应包含你的user@DOMAIN.COM主体信息，说明凭证已被root识别。

3. 执行自动化域加入命令 #

此时直接执行realm join即可，无需手动输入密码：

sudo realm join domain.com --user=user@DOMAIN.COM

或者显式指定不提示密码：

sudo realm join domain.com --user=user@DOMAIN.COM --no-password

4. 额外排查点 #

如果问题仍存在，检查以下内容：

• Kerberos配置正确性：确保/etc/krb5.conf中default_realm设置为大写的DOMAIN.COM，且AD域控制器地址配置正确。
• 用户权限：确认user@domain.com在AD中有创建计算机对象的权限（需在目标OU上配置该权限）。
• 清理旧状态：若之前有失败的加入尝试，先清理再重试：

  sudo realm leave domain.com --force
  

• realmd日志排查：启用verbose模式查看详细错误：

  sudo realm join domain.com --verbose
  

内容的提问来源于stack exchange，提问作者calkulius