Eclipse使用GSSAPI远程认证仍需输入AD密码的问题求助

关键配置检查项 #

• 确认JDK的Kerberos配置有效性
  Eclipse依赖的JDK需正确配置Kerberos参数。检查jdk/jre/lib/security/krb5.conf（Windows系统可能为C:\Windows\krb5.ini），确保其中default_realm、domain_realm、KDC地址与PuTTY/WinSCP使用的配置完全一致。
• 验证Kerberos票据状态
  打开命令行执行klist（Windows）或kinit（Linux/macOS），确认本地已有有效的AD票据。Eclipse不会自动获取票据，需保证启动Eclipse前已通过kinit <用户名>@REALM生成有效票据，或配置了自动续订机制。
• 配置Eclipse的VM参数
  在eclipse.ini中添加Kerberos相关VM参数，强制指定配置文件并允许使用系统票据：

  -Djava.security.krb5.conf=C:\路径\到\krb5.ini
  -Djavax.security.auth.useSubjectCredsOnly=false
  

  可通过「Help」→「About Eclipse」→「Installation Details」→「Configuration」查看参数是否生效。
• 细化远程连接的认证设置
  若使用Remote System Explorer（RSE），进入具体连接的属性页：
  • 在「SSH」→「Authentication」中仅勾选gssapi-with-mic，取消「Prompt for password」勾选
  • 「User ID」填写完整AD用户主体（如username@DOMAIN.COM，而非短用户名）
• 开启调试日志排查失败原因
  在eclipse.ini中添加调试参数：

  -Dorg.eclipse.jsch.core.debug=true
  -Dorg.eclipse.remote.core.debug=true
  

  重启Eclipse后查看.metadata/.log文件，搜索「gssapi」「kerberos」关键字，确认Eclipse是否尝试了GSSAPI认证及失败具体原因。

成功配置参考 #

不少用户通过以下步骤实现无密码GSSAPI连接：

1. 本地提前获取有效Kerberos票据（klist确认）
2. Eclipse SSH2认证中仅启用gssapi-with-mic
3. 通过VM参数指定正确的krb5.conf路径
4. 连接时使用完整AD用户主体名

内容的提问来源于stack exchange，提问作者The_Sound_Maker