SSH GSSAPIAuthentication/Kerberos在CMD可用但Java程序调用失败

我们处于企业Windows AD网络环境，相关场景如下：

• 在CMD直接执行ssh -o GSSAPIAuthentication=yes userid@servermachine.xyz.com可正常运行，通过CMD的RunAs让其他同事执行也能成功。
• Java Web应用采用Waffle SSO认证，使用Waffle模拟功能，通过Windows API CreateProcessAsUser调用包含SSH/SCP步骤的批处理文件；应用以Windows服务运行，负责模拟用户并在其上下文创建新进程。
• 我自己登录Java应用执行批处理时，SSH/SCP正常工作；但其他用户登录后通过CreateProcessAsUser执行批处理时，SSH/SCP失败。
• 额外测试：我移除SSH密钥对、重命名~user/ssh为~user/ssh1，CMD下仍能通过GSSAPI/Kerberos认证成功，但其他用户通过Java应用调用依旧失败。
• 附sshd_config配置截图（默认假设截图已开启GSSAPI相关核心配置）

1. 核对模拟用户的Kerberos票据状态 #

• 在批处理开头添加klist命令，输出Kerberos票据信息，对比正常CMD执行和Java应用调用时的票据内容：重点看是否存在目标服务器的服务票据、TGT是否有效。
• 注意：Windows服务默认上下文可能没有交互式登录票据，需确认Waffle模拟是否完整复制了用户的Kerberos上下文——部分模拟方式仅实现本地权限模拟，无法传递跨域/服务级Kerberos票据。

2. 检查CreateProcessAsUser的参数配置 #

• 确认调用时是否正确传递了用户环境变量，尤其是USERPROFILE、HOME这类SSH依赖的路径变量；验证其他用户的%USERPROFILE%\.ssh目录是否存在（哪怕是空目录，部分SSH客户端可能要求该路径存在）。
• 检查是否启用CREATE_UNICODE_ENVIRONMENT标志以确保环境变量正确解析；同时确认STARTUPINFO是否关联到用户的交互式会话——服务进程创建的无会话进程可能无法访问部分认证资源。

3. 验证SSH客户端的GSSAPI配置与权限 #

• 确认其他用户的Windows账户有权访问Kerberos KDC，且其用户配置文件已加载到Java应用所在机器（比如是否通过RDP登录过该机器，或通过loaduserprofile参数加载配置）。你因有RDP权限且配置已加载所以正常，但其他用户可能未加载配置，导致SSH无法找到GSSAPI所需的票据缓存。
• 尝试在批处理的SSH命令中添加-o GSSAPIDelegateCredentials=yes参数开启凭证委派，测试是否解决问题。

4. 检查Windows服务的运行权限 #

• 确认Java应用的服务运行账户是否具备凭证委派权限（需在AD中配置服务账户的委派属性）；若服务账户权限不足，模拟用户时无法将Kerberos票据传递到远程SSH服务器。
• 临时测试服务是否以「允许与桌面交互」方式运行（不推荐长期使用，但部分认证流程依赖交互式会话的票据缓存访问）。

5. 抓取SSH客户端的调试日志 #

• 在批处理的SSH命令中添加-v参数开启调试模式，比如ssh -v -o GSSAPIAuthentication=yes userid@servermachine.xyz.com，将日志输出到文件。对比正常CMD执行和Java应用调用时的日志差异，重点定位GSSAPI认证阶段的报错（比如找不到票据、KDC认证失败、权限不足等）。

6. 确认用户配置文件加载情况 #

• 在批处理中添加echo %USERPROFILE%和dir %USERPROFILE%\.ssh命令，查看输出结果，确认其他用户的配置目录是否存在且有读取权限。若用户从未登录过该机器，需通过LoadUserProfile API预先加载其配置，或在CreateProcessAsUser时指定CREATE_NEW_CONSOLE参数确保配置路径生效。

内容的提问来源于stack exchange，提问作者Chandru