OEL 8 Realm加入报错：权限不足且Kerberos数据库服务器未找到求助

作为Windows管理员协助Linux管理员将OEL 8服务器加入AD域时，执行realm join操作返回「Insufficient permissions to join the domain」，但核心错误指向Kerberos认证失败：

! Couldn't authenticate to active directory: SASL(-1): generic failure: GSSAPI
Error: Unspecified GSS failure. Minor code may provide more information (Server not found in Kerberos database)
adcli: couldn't connect to [redacted] domain: Couldn't authenticate to active directory: SASL(-1): generic failure: GSSAPI Error: Unspecified GSS failure. Minor code may provide more information (Server not found in Kerberos database)
...
! Insufficient permissions to join the domain
realm: Couldn't join realm: Insufficient permissions to join the domain

已确认使用域管理员账号（该账号长期正常执行域加入操作，权限未变更），且已完成以下排查：

• 在krb5.conf中添加rdns=false
• 修改hosts文件指向可连通的特定域控制器
• 验证本地防火墙所有必要端口已开放
• 确认域DNS配置正常
• 在OEL 8服务器上使用该账号成功执行域登录命令
• 验证账号有效性（可登录域控制器）

以下是进一步的排查思路：

1. 验证Kerberos服务主体名称(SPN)与解析匹配 #

• 执行nslookup <域控制器FQDN>和nslookup <域控制器IP>，确认正向/反向解析均能正确关联到域控制器主机名与IP
• 在域控制器上执行setspn -L <域控制器NetBIOS名>，检查是否存在HOST/<域控制器FQDN>和HOST/<域控制器NetBIOS名>的SPN，若缺失需手动注册：setspn -A HOST/<主机名> <域控制器计算机名>

2. 显式指定参数执行realm join并查看 verbose 日志 #

• 使用带详细日志的命令执行加入操作：

  realm join --user=<域管理员账号> --computer-ou="OU=目标OU路径,DC=domain,DC=com" <域名> -v
  

  通过-v输出的日志定位具体失败阶段，确认是Kerberos认证环节还是AD对象创建环节出问题
• 检查OEL 8服务器的计算机名是否超过15字符（NetBIOS名称限制），过长的计算机名会导致Kerberos SPN注册失败，需临时修改后重试

3. 排查AD中计算机对象冲突与权限 #

• 在AD用户和计算机(ADUC)中搜索是否存在与当前OEL 8服务器同名的计算机对象（包括已删除但未清理的残留对象），若存在需彻底删除后重试
• 验证域管理员账号对目标OU的权限：右键OU→「属性」→「安全」，确认账号拥有「创建计算机对象」「删除计算机对象」「读取/写入计算机对象属性」权限，若OU开启了权限继承阻断，需手动添加对应权限

4. 清理Kerberos票据缓存并验证配置 #

• 执行kdestroy清空本地Kerberos票据缓存，再执行kinit <域管理员账号>@<大写域名>获取票据，确认无报错后再执行realm join
• 检查/etc/krb5.conf中的default_realm配置是否为大写域名（Kerberos对大小写敏感），例如：

  [libdefaults]
  default_realm = DOMAIN.COM
  rdns = false
  

5. 检查域控制器Kerberos服务状态 #

• 在域控制器上重启Kerberos服务：net stop kdc && net start kdc
• 查看域控制器事件查看器中的「安全」日志，筛选事件ID 4768（Kerberos票据请求）和4769（Kerberos服务票据请求），确认是否有认证请求被拒绝的记录

6. 更新SSSD与adcli组件 #

• 检查当前组件版本：

  sssd --version
  adcli --version
  

• 执行dnf update sssd adcli krb5-workstation更新至OEL 8的最新稳定版本，部分旧版本存在Kerberos认证兼容性问题

内容的提问来源于stack exchange，提问作者Ronald West II