PHP中$_SERVER缺失KRB5CCNAME致LDAP SASL绑定失败排查

核心问题：Kerberos/GSSAPI认证功能正常，但PHP无法通过$_SERVER['KRB5CCNAME']获取凭证缓存路径，导致LDAP SASL（GSSAPI）绑定失败。以下是针对性排查和解决方向：

1. 确认Apache模块的凭证传递配置 #

不管使用mod_auth_kerb还是mod_auth_gssapi，凭证缓存默认不会自动注入PHP环境变量，需手动配置传递规则：

• 对于mod_auth_kerb：
  已开启KrbSaveCredentials On，需在Apache配置（或.htaccess）中添加环境变量传递规则：

  PassEnv KRB5CCNAME
  

  注意：mod_auth_kerb默认将凭证存储在进程内存中，部分版本不会生成磁盘缓存文件，此时KRB5CCNAME可能为空。可在/etc/krb5.conf中配置磁盘缓存模式：

  [libdefaults]
  default_ccache_name = FILE:/var/run/apache2/krb5cc_%{uid}
  

• 对于mod_auth_gssapi：
  已配置GssapiDelegCcacheDir和GssapiDelegCcacheUnique On，需确保Apache将缓存路径传递给PHP：

  SetEnvIf GSSAPI_CCACHE (.*) KRB5CCNAME=$1
  PassEnv KRB5CCNAME
  

  部分版本的mod_auth_gssapi会自动设置GSSAPI_CCACHE环境变量，可通过phpinfo()的「环境变量」部分验证是否存在。

2. 排查PHP SAPI的环境变量传递限制 #

• 如果使用mod_php（Apache内嵌模块）：
  直接检查phpinfo()中的KRB5CCNAME是否存在，若不存在，确认Apache配置中PassEnv/SetEnv规则是否生效，同时排查mod_security等模块是否拦截环境变量。
• 如果使用PHP-FPM：
  需在Apache的FastCGI配置中传递环境变量：

  <FilesMatch "\.php$">
      SetHandler "proxy:unix:/run/php/php8.2-fpm.sock|fcgi://localhost"
      ProxySet env=KRB5CCNAME=%{KRB5CCNAME}e
  </FilesMatch>
  

  同时在php-fpm.conf或对应池配置中设置clear_env = no，避免清空继承的环境变量。

3. 验证凭证缓存目录的权限 #

• 对于mod_auth_gssapi的GssapiDelegCcacheDir /var/run/apache2/clientcaches：
  执行以下命令确保权限正确：

  chown www-data:www-data /var/run/apache2/clientcaches
  chmod 700 /var/run/apache2/clientcaches
  

  700权限确保只有www-data能访问缓存文件，避免敏感信息泄漏。
• 对于mod_auth_kerb的磁盘缓存：
  确保/var/run/apache2目录下的缓存文件（如krb5cc_33，33为www-data的UID）权限为600，且属主为www-data。

4. 检查Kerberos凭证委托的完整性 #

• 客户端配置：
  Ubuntu客户端的/etc/krb5.conf需开启凭证转发：

  [libdefaults]
  forwardable = true
  

  浏览器需允许凭证委托：Firefox可在about:config中设置network.negotiate-auth.delegation-uris包含你的网站域名；Chrome需将网站加入「受信任的站点」或通过--auth-server-whitelist参数配置。
• AD服务账号配置：
  在Windows Server 2012的AD中，为Apache的服务账号（HTTP/server.domain.com）设置委托权限：
  1. 打开AD用户和计算机，找到服务账号属性。
  2. 切换到「委派」标签，选择「信任此用户委派到任何服务（仅Kerberos）」。
  3. 若需最小权限，可指定仅委派到LDAP/dc.domain.com服务。

5. 替代方案：直接在PHP中指定缓存路径 #

若KRB5CCNAME仍无法获取，可尝试：

• 使用mod_auth_gssapi提供的GSSAPI_CCACHE环境变量：

  putenv('KRB5CCNAME=' . $_SERVER['GSSAPI_CCACHE']);
  // 随后执行LDAP SASL绑定
  

• 手动构造缓存路径（仅适用于GssapiDelegCcacheUnique Off的场景）：

  $ccachePath = '/var/run/apache2/clientcaches/' . $_SERVER['REMOTE_USER'];
  putenv("KRB5CCNAME=$ccachePath");
  

内容的提问来源于stack exchange，提问作者Akuro