WebSphere中Kerberos认证主机名规范化解析为IP报错排查

• IBM JDK（WebSphere默认配套JDK）的默认策略会将服务主机名规范化解析为IP地址，这和Oracle JDK的默认行为不同。应用发起Kerberos服务认证时，会把目标Kafka的FQDN（gbccccc23.fw.oguzhan.com.tr）解析成IP，进而构造出kafka/10.230.xxx.xxx@FW.OGUZHAN.COM.TR这样的服务主体请求票据，但KDC数据库里只注册了基于FQDN的服务主体kafka/gbccccc23.fw.oguzhan.com.tr@FW.OGUZHAN.COM.TR，自然匹配失败，返回错误码7。
• 手动用kinit能成功，是因为kinit只获取客户端自身的Kerberos票据，不需要解析服务端主机名构造服务主体，所以不会触发这个规范化问题。

• 添加JVM参数禁用主机名规范化：在WebSphere的应用JVM参数中加入以下配置，强制IBM JDK跳过将主机名解析为IP的步骤：

  -Dcom.ibm.security.krb5.disableHostnameCanonicalization=true
  

• 检查WebSphere全局安全配置：登录WebSphere控制台，进入安全 > 全局安全 > 认证机制和有效期 > Kerberos配置，确认是否有强制主机名解析的配置项，如有则调整为保留FQDN。
• 确保Kafka客户端使用FQDN连接：修改Kafka客户端配置（如bootstrap.servers参数），使用Kafka节点的FQDN而非IP地址，从源头上避免触发IP形式的服务主体请求。

内容的提问来源于stack exchange，提问作者O.Kazak