Docker容器中Kerberos kinit预认证失败问题求助

我正尝试在Docker容器中搭建基于Kerberos的登录验证系统，计划通过Python脚本调用Shell命令生成包含用户信息的keytab文件，再使用kinit创建票据，示例代码如下：

process = subprocess.Popen(['ktutil'], stdin=subprocess.PIPE, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True)
commands = f"""
addent -password -p {name}@{realm} -k 1 -e aes256-cts -s "{realm}{name}"
{password}
wkt {path}/{name}.keytab
quit
"""
stdout, stderr = process.communicate(input=commands)
print("stdout:", stdout)
print("stderr:", stderr)
process.wait()
args = ['kinit', '-k', '-t', f'{path}/{name}.keytab', f'{name}@{realm}']
process = subprocess.Popen(args, stdin=subprocess.PIPE, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True)
stdout, stderr = process.communicate()
print("stdout:", stdout)
print("stderr:", stderr)
process.wait()

执行脚本时keytab文件似乎已正常生成，但运行第二个子进程时出现错误：kinit: Preauthentication failed while getting initial credentials。我曾在本地命令行创建keytab并使用kinit生成票据，操作完全正常，但在Docker容器内执行相同操作却失败，怀疑是keytab文件权限问题。此前我尝试过添加-s "{realm}{name}"参数，但并无效果，请问有解决思路吗？

• 修正keytab文件权限：Kerberos要求keytab必须是仅所有者可读可写（权限600），容器内生成的文件可能权限不符合要求。在生成keytab后添加权限修改代码：

  import os
  os.chmod(f"{path}/{name}.keytab", 0o600)
  

• 校验Kerberos配置一致性：确保容器内/etc/krb5.conf的realm、KDC地址、默认域名等配置和本地完全一致，避免因配置缺失导致无法连接KDC。
• 调整加密算法匹配：部分KDC可能未启用aes256-cts，或用户账号未配置该算法。尝试替换为aes128-cts或des3-cbc-sha1，同时确认KDC端用户账号的加密算法列表包含所选类型。
• 修正keytab生成参数：addent命令中的-s参数指定的是服务主体，生成用户keytab时无需额外指定，该参数可能导致生成的条目异常。建议去掉-s "{realm}{name}"后重新生成keytab。
• 检查容器时间同步：Kerberos对时间差敏感，容器与KDC服务器的时间差不能超过5分钟。用date命令对比两边时间，必要时在容器内配置NTP同步。
• 手动执行排查脚本问题：跳过Python脚本，在容器内直接用命令行执行ktutil生成keytab、kinit验证。如果手动执行成功，说明脚本子进程的环境变量缺失（如KRB5_CONFIG未设置），可在subprocess调用时传入完整环境变量：

  import os
  env = os.environ.copy()
  env['KRB5_CONFIG'] = '/etc/krb5.conf'
  process = subprocess.Popen(args, stdin=subprocess.PIPE, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True, env=env)
  

• 验证keytab内容准确性：在容器内用ktutil读取keytab，确认条目信息正确：

  ktutil
  rkt /path/to/user.keytab
  list
  

  检查输出中的principal、kvno、加密类型是否与预期一致。

内容的提问来源于stack exchange，提问作者anonymousbird