如何通过LDAP创建keytab文件？

你无法仅通过原生LDAP协议直接生成Kerberos keytab文件。LDAP仅负责维护AD目录内的用户、用户组、服务主体名称（SPN）等目录对象属性，keytab生成需要读取账户对应的Kerberos密钥哈希，这一步必须通过AD域提供的专用工具完成，你提到的ktpass就是Windows AD环境下官方内置的、自动完成LDAP属性配置+密钥导出的工具，不需要你手动拆分执行LDAP操作。

• 执行命令的Windows设备已加入目标域DC.YOURADDOMAIN.LINK，或可正常连通域控的LDAP、Kerberos服务端口
• 执行操作的账号拥有域内用户属性修改、SPN注册权限，通常为域管理员账号或被委派对应权限的运维账号
• 待映射的域用户ffs@DC.YOURADDOMAIN.LINK已经提前通过LDAP在AD目录中创建完成，且未开启“敏感账户，无法被委派”等限制策略

你给出的ktpass命令执行时，会自动完成所有需要的LDAP目录操作，无需手动单独修改LDAP条目：

• 检索AD目录，定位到ffs@DC.YOURADDOMAIN.LINK对应的用户对象
• 修改该用户的servicePrincipalName属性，写入值HTTP/xyzid.xzu.io
• 重置该用户的密码为随机高强度密码（对应参数+rndPass）
• 配置该用户的Kerberos主体类型为KRB5_NT_PRINCIPAL，开启AES128、AES256、RC4等全加密类型支持（对应参数-crypto ALL）
• 拉取该服务主体对应的所有密钥哈希，按keytab格式封装后写入指定的本地输出路径

• 在加域的Windows设备上，用有权限的域账号登录，以管理员身份打开命令提示符或PowerShell窗口
• 直接执行以下命令：

ktpass -princ HTTP/xyzid.xzu.io@DC.YOURADDOMAIN.LINK -mapuser ffs@DC.YOURADDOMAIN.LINK -crypto ALL -ptype KRB5_NT_PRINCIPAL -pass +rndPass -out c:\ffs.keytab

• 命令返回成功提示后，即可在C盘根目录获取到生成的ffs.keytab文件

注意事项

• 命令执行完成后，ffs账号的密码会被自动重置为随机值，后续不要手动修改该账号密码，否则会导致keytab内的密钥失效，Kerberos认证失败
• 如果一定要拆分LDAP操作和keytab生成步骤，仅可通过LDAP提前完成用户创建、SPN属性写入的操作，最终keytab导出仍需通过ktpass工具完成，LDAP协议本身不支持读取用户的Kerberos密钥哈希，无法独立生成keytab
• keytab文件等价于服务账号的明文密钥，生成后请严格管控访问权限，避免泄露导致域安全风险

内容的提问来源于stack exchange，提问作者realPro