Kerberos测试报错：无法找到适配密钥解密AP REP（AES256 CTS+HMAC SHA1-96）

这个报错的核心原因是服务端无法找到匹配AES256加密类型的密钥来解密客户端的AP REP包，以下是针对性的排查和解决步骤：

1. 验证Keytab是否包含AES256密钥 #

用ktutil工具检查keytab内的密钥类型：

ktutil
rkt /path/to/your/keytab
list

确认输出中存在aes256-cts-hmac-sha1-96类型的条目，且对应SPN test/localhost@EXAMPLE.COM。如果缺失，重新生成keytab时明确指定AES256加密类型（避免仅依赖/CRYPTO All可能存在的兼容性问题）：

ktpass /princ test/localhost@EXAMPLE.COM /mapuser EXAMPLE\test_account /pass * /out test.keytab /crypto AES256-SHA1 /ptype KRB5_NT_PRINCIPAL /mapop set

2. 启用服务账号的AES256加密权限 #

在AD服务器上找到服务对应的用户账号，进入属性→账户→账户选项，勾选使用Kerberos AES 256位加密选项。即使生成了AES256的keytab，账号本身未开启该权限也会导致密钥无法被识别。

3. 调整Kerberos客户端配置（krb5.conf） #

确保krb5.conf的加密类型列表包含AES256，且优先级靠前：

[libdefaults]
    default_realm = EXAMPLE.COM
    permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 rc4-hmac des-cbc-md5 des-cbc-crc
    default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96
    default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96

修改后清理旧票据缓存并重新初始化：

kdestroy
kinit -kt /path/to/test.keytab test/localhost@EXAMPLE.COM

4. 配置curl的Kerberos环境变量 #

确保curl运行时能正确读取krb5配置和keytab文件，设置环境变量后再执行测试：

export KRB5_CONFIG=/etc/krb5.conf
export KRB5_KTNAME=/path/to/test.keytab
curl --service-name test --negotiate:u http://localhost:8080/api

5. 检查SPN绑定的正确性 #

确认服务账号上仅绑定了目标SPN，无重复或错误条目：

setspn -L EXAMPLE\test_account

若存在多余SPN，先删除再重新添加：

setspn -D test/localhost@EXAMPLE.COM EXAMPLE\test_account
setspn -A test/localhost@EXAMPLE.COM EXAMPLE\test_account

内容的提问来源于stack exchange，提问作者Sanjay