跨域GSSAPI Negotiate认证失败求助（Kerberos+AD环境）

1. 配置浏览器允许跨域发送Kerberos凭证 #

浏览器默认会阻止跨域场景下发送Kerberos凭证，需手动添加信任白名单：

Chrome/Edge #

• 地址栏输入 chrome://flags/#auth-server-whitelist，将 *://auth.another.com 添加到Auth Server Whitelist
• 若为测试环境，可开启 chrome://flags/#allow-insecure-localhost（HTTPS场景可忽略）

Firefox #

• 地址栏输入 about:config，搜索 network.negotiate-auth.trusted-uris，添加 http://auth.another.com（HTTPS场景替换为https）
• 搜索 network.negotiate-auth.delegation-uris，同样添加该域名，确保凭证可被委派

2. 修正krb5.conf配置 #

确保[domain_realm]段明确覆盖目标域名，优先级从具体到通用：

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = EXAMPLE.LOCAL
 dns_lookup_realm = false
 dns_lookup_kdc = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true

[realms]
 EXAMPLE.LOCAL = {
  kdc = svr-dc1.example.local
  admin_server = svr-dc1.example.local
 }

[domain_realm]
 auth.another.com = EXAMPLE.LOCAL  # 单个主机优先级最高
 .another.com = EXAMPLE.LOCAL
 another.com = EXAMPLE.LOCAL
 .example.local = EXAMPLE.LOCAL
 example.local = EXAMPLE.LOCAL

修改后执行 kdestroy && kinit 销毁旧票据并重新获取，使配置生效。

3. 验证AD中SPN注册有效性 #

在域控制器或已加入域的Windows机器上执行命令：

setspn -Q http/auth.another.com

• 确认输出仅绑定到目标服务账号 http/auth.another.com@EXAMPLE.LOCAL，无重复SPN（若有重复，用 setspn -D http/auth.another.com <重复账号> 删除）
• 检查该服务账号是否启用、未被锁定

4. 测试客户端票据获取 #

在客户端执行以下命令排查票据问题：

# 销毁现有票据
kdestroy
# 获取域用户票据（若已登录域可跳过此步）
kinit your-domain-user@EXAMPLE.LOCAL
# 查看现有票据
klist -e

若未找到http/auth.another.com的服务票据，尝试手动获取：

kinit -k -t /path/to/your/keytab/file http/auth.another.com@EXAMPLE.LOCAL

若获取失败，检查KDC连通性或SPN正确性。

5. 检查Web服务器Kerberos配置 #

以Apache为例，确保配置正确启用Negotiate并绑定对应SPN：

<Location />
    AuthType Kerberos
    AuthName "Kerberos Login"
    KrbMethodNegotiate On
    KrbMethodK5Passwd Off
    KrbAuthRealms EXAMPLE.LOCAL
    KrbServiceName HTTP/auth.another.com
    Krb5Keytab /etc/httpd/conf/http.keytab
    Require valid-user
</Location>

IIS环境需：启用Windows身份验证、禁用Basic认证，在高级设置中指定SPN为http/auth.another.com。

6. 通过日志定位具体错误 #

查看Kerberos日志文件：

• /var/log/krb5libs.log（客户端日志）
• /var/log/krb5kdc.log（KDC日志）
  搜索auth.another.com相关条目，排查是否存在Realm匹配失败、SPN不匹配、票据无效等具体错误。

内容的提问来源于stack exchange，提问作者nickb84