.NET Core 7部署至OpenShift时Windows身份验证遇GenericFailure异常

核心原因 #

你遇到的AuthenticationException: GenericFailure本质是因为Windows身份验证（Negotiate方案）依赖Windows域环境或Kerberos基础设施，而OpenShift是基于Linux的容器平台，默认不具备这些环境：

• 本地Windows环境中，NegotiateHandler能自动和域控制器交互完成Kerberos/NTLM认证
• OpenShift的Linux容器未加入Windows域，也没有配置Kerberos客户端，无法完成认证握手流程

可行解决方案 #

方案1：替换为容器友好的认证方式（推荐生产环境） #

直接放弃在容器内使用Windows身份验证，改用更适合云原生场景的认证方案：

• 集成企业级SSO（比如基于SAML2.0、OAuth2.0或OpenID Connect）
• 使用API密钥、JWT令牌等无状态认证方式
• 若需对接AD用户，可通过AD的LDAP接口查询用户信息，配合独立的认证服务

方案2：在Linux容器中配置Kerberos支持（仅当必须保留Windows身份验证时） #

如果业务要求必须使用Windows身份验证，需要为容器配置Kerberos客户端：

1. 在Dockerfile中安装Kerberos工具

   # 基于官方.NET镜像
   FROM mcr.microsoft.com/dotnet/aspnet:7.0
   # 安装Kerberos客户端
   RUN apt-get update && apt-get install -y krb5-user && rm -rf /var/lib/apt/lists/*
   

2. 配置Kerberos配置文件krb5.conf
   将配置文件复制到容器的/etc/krb5.conf，内容示例：

   [libdefaults]
       default_realm = YOUR_DOMAIN.COM
       dns_lookup_realm = true
       dns_lookup_kdc = true
   [realms]
       YOUR_DOMAIN.COM = {
           kdc = dc.your_domain.com
           admin_server = dc.your_domain.com
       }
   [domain_realm]
       .your_domain.com = YOUR_DOMAIN.COM
       your_domain.com = YOUR_DOMAIN.COM
   

3. 提供Kerberos服务票据（Keytab文件）
   • 从域控制器生成对应服务主体名称（SPN）的keytab文件
   • 将keytab文件挂载到容器中（比如通过OpenShift的Secret）
4. 修改.NET应用的Negotiate配置
   在Program.cs中指定Kerberos相关参数：

   builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
       .AddNegotiate(options =>
       {
           options.KerberosSettings.ServicePrincipalName = "HTTP/your-app-service.your_domain.com";
           options.KerberosSettings.KeyTabPath = "/path/to/your.keytab";
       });
   

5. 验证网络连通性
   确保OpenShift容器能访问域控制器的Kerberos端口（88/UDP和88/TCP），无防火墙或网络策略阻挡

方案3：使用OpenShift的Windows节点（仅适用于特定场景） #

如果你的OpenShift集群部署了Windows节点，可以将应用调度到Windows节点上运行，这样容器内的Windows环境能原生支持Windows身份验证，但这种方案在云原生场景中并不常用。

内容的提问来源于stack exchange，提问作者Marius Lukošiūnas