AWS Lambda环境下Python基于SMB的Kerberos认证文件传输替代方案

1. 使用纯Python Kerberos/SPNEGO实现对接SMB #

可以采用纯Python的SPNEGO库pyspnego配合SMB协议库smbprotocol，无需依赖系统级Kerberos客户端，完全在Python环境内完成Kerberos认证流程。

核心步骤： #

• 安装依赖：

  pip install smbprotocol pyspnego
  

• 手动构造Kerberos认证所需参数（无需系统krb5.conf）：
  1. 直接指定KDC地址、域名称、用户主体名（user@REALM）和密码。
  2. 通过pyspnego生成SMB服务对应的Kerberos票据（服务SPN格式通常为cifs/<smb-server-fqdn>@REALM）。
  3. 用生成的票据通过smbprotocol建立SMB连接并完成文件传输。

示例代码片段： #

from smbprotocol.connection import Connection
from smbprotocol.session import Session
from smbprotocol.tree import TreeConnect
import pyspnego

# Kerberos配置信息
kdc_server = "kdc.your-domain.com"
realm = "YOUR-DOMAIN.COM"
username = "your-user"
password = "your-password"
smb_server = "smb-server.your-domain.com"
smb_share = "shared-folder"

# 构建Kerberos上下文，生成服务票据
spnego = pyspnego.gssapi(
    username=username,
    password=password,
    service="cifs",
    hostname=smb_server,
    realm=realm,
    kdc_host=kdc_server
)

# 建立SMB连接
conn = Connection(smb_server, 445)
conn.connect()

# 使用Kerberos认证创建会话
session = Session(conn)
session.authenticate(spnego)

# 连接共享目录
tree = TreeConnect(session, f"\\\\{smb_server}\\{smb_share}")
tree.connect()

# 上传文件示例
with tree.open_file("remote-file.txt", "w") as remote_file:
    with open("local-file.txt", "rb") as local_file:
        remote_file.write(local_file.read())

# 清理资源
tree.disconnect()
session.logoff()
conn.disconnect()

2. 借助AWS Lambda层打包Kerberos客户端依赖 #

如果仍想使用gssapi这类依赖系统Kerberos的库，可以通过Lambda层预编译包含krb5客户端的运行时环境：

操作步骤： #

• 在与Lambda相同架构（如x86_64或arm64）的EC2实例/本地环境中，编译或安装krb5客户端库（krb5-libs、krb5-workstation等）。
• 将编译好的库文件（通常在/usr/lib64/或/usr/lib/）和配置模板打包成Lambda层。
• 在Lambda函数中配置该层，并设置环境变量KRB5_CONFIG指向层内的krb5.conf文件（可在代码中动态生成配置内容，无需提前写入文件）。
• 安装gssapi和SMB库（如pysmb），打包进Lambda部署包。

3. 通过中间服务中转文件传输 #

如果上述方案仍有障碍，可以部署一个中间服务（如EC2实例或AWS ECS任务），该服务已配置好Kerberos客户端环境：

• Lambda将待传输文件上传至S3。
• 触发中间服务从S3下载文件，完成SMB Kerberos认证并传输到共享驱动器。
• 中间服务执行完成后，向Lambda返回结果状态。

内容的提问来源于stack exchange，提问作者Suvetha