Kerberos对接AD认证时，如何在Nginx中获取用户所属域名？

直接解决方案：使用nginx-spnego模块的内置变量 #

nginx-spnego模块自带$remote_user_krb5_principal变量，它会返回完整的Kerberos主体名称，格式为用户名@域名，刚好能满足你跨域用户唯一识别的需求。

直接在Nginx配置里替换原有变量即可：

proxy_set_header X-User $remote_user_krb5_principal;

额外处理选项（按需使用） #

如果需要将用户名和域名拆分单独传递给后端，可以用Nginx的字符串匹配指令提取：

# 提取@符号前的用户名
set $username "";
if ($remote_user_krb5_principal ~* "^(.+)@") {
    set $username $1;
}
# 提取@符号后的域名
set $domain "";
if ($remote_user_krb5_principal ~* "@(.+)$") {
    set $domain $1;
}
# 分别设置请求头
proxy_set_header X-Username $username;
proxy_set_header X-Domain $domain;

注意点 #

• 确认你的nginx-spnego模块版本支持该变量：主流0.8及以上版本均已包含，若版本过旧建议升级模块。
• 配置修改后需重启Nginx生效，可通过后端服务查看请求头验证结果。

内容的提问来源于stack exchange，提问作者Контантин Петров