Windows下PostgreSQL Kerberos无密码认证方案咨询及实现疑问

除Kerberos外的无密码认证替代方案 #

• 证书认证：PostgreSQL支持SSL证书认证，客户端通过本地证书文件向服务端证明身份，无需存储密码。需在postgresql.conf开启SSL，pg_hba.conf配置cert认证规则，客户端连接时指定sslcert和sslkey参数。
• Windows NTLM认证：属于SSPI体系的子集，适合无Kerberos环境（比如非AD域），安全性略低于Kerberos，同样通过SSPI配置实现无密码登录。
• Peer认证：仅适用于本地连接场景，服务端直接匹配操作系统用户与PostgreSQL用户身份，无需额外认证步骤，但仅限同一机器内的应用连接。

你的SSPI+Kerberos方案可行性验证 #

这套方案完全可行，各步骤逻辑正确：

1. 配置SSPI认证：Windows版PostgreSQL默认集成SSPI模块，只需在pg_hba.conf中添加认证规则（如host all all 0.0.0.0/0 sspi），并在postgresql.conf中正确配置krb_server_keyfile指向AD生成的keytab文件。
2. 创建同名PostgreSQL用户：必须创建与AD用户/SPN完全匹配的数据库用户（注意大小写，建议用双引号精确匹配，例如CREATE USER "DOMAIN\ad_user" WITH LOGIN;），确保身份映射生效。
3. 预创建Kerberos票据：通过Windows Kerberos工具提前获取并缓存票据，后续连接时直接复用，无需重复验证。
4. psql无密码连接：配置完成后，psql会自动读取本地缓存的Kerberos票据，通过SSPI完成认证，无需输入密码。

预创建Kerberos认证票据的具体实现方法 #

手动创建（测试场景） #

1. 打开CMD或PowerShell，执行以下命令并输入AD用户密码：

   kinit DOMAIN\ad_username
   

2. 验证票据生成：

   klist
   

   输出中会显示包含目标SPN的有效Kerberos票据，默认有效期约10小时。

自动创建（生产/部署场景） #

通过keytab文件实现无交互生成票据，需先获取keytab文件：

1. 生成keytab文件（域控制器执行，需AD管理员权限）：

   ktpass /princ ad_username@DOMAIN.COM /mapuser DOMAIN\ad_username /pass * /out C:\keytabs\user.keytab /ptype KRB5_NT_PRINCIPAL /crypto ALL
   

   执行时输入AD用户密码，生成对应keytab文件。
2. 使用keytab自动获取票据（应用服务器执行）：

   kinit -k -t C:\keytabs\user.keytab ad_username@DOMAIN.COM
   

   该命令无需交互，直接通过keytab文件生成票据，可加入Windows任务计划定期执行以刷新过期票据。

关键注意事项 #

• PostgreSQL服务运行的AD账户需具备keytab文件读取权限，且已正确注册PostgreSQL服务的SPN（如setspn -A postgresql/server_hostname.domain.com DOMAIN\pg_service_account）。
• 票据过期后需重新生成，可通过定时任务自动执行kinit命令维持有效票据。

内容的提问来源于stack exchange，提问作者Nikolai