Spring应用基于Kerberos实现Windows凭据SSO的落地问题咨询

1. 落地必需的核心类/组件 #

你列出的4个组件不需要全部引入，按实际场景区分即可：

• 必选组件共2个：
  • SpnegoConfig：SPNEGO协议认证的核心配置，负责解析HTTP请求中Authorization: Negotiate头携带的Kerberos服务票据，是对接Windows域凭据免密登录的核心入口，没有这个配置根本无法识别客户端传上来的域认证信息，属于必选。
  • KerberosLdapContextSource：用来替换你现有LDAP对接逻辑里的普通上下文源，认证完成后可以直接复用Kerberos上下文去AD拉取用户属性、权限信息，不需要额外维护LDAP连接的明文密码配置，和你现有LDAP登录逻辑适配成本最低，属于必选。
• 可选组件共2个：
  • AuthProviderConfig：只有你需要同时保留原有账号密码表单登录（允许用户手动输入域账号密码登录，不强制走SSO）的时候才需要配置，纯SSO免密场景可以完全省略。
  • KerberosRestTemplate：仅用于你的服务作为客户端调用其他开启Kerberos认证的第三方接口时使用，和用户端登录SSO逻辑完全无关，纯Web登录场景不需要引入。
• 额外注意：官方示例容易漏的点是必须把SpnegoAuthenticationProcessingFilter注册到Spring Security过滤链中，且优先级要高于原有用户名密码认证过滤器，不然SSO请求不会被拦截处理。

2. 全Windows用户场景下的keytab/票据缓存配置 #

别被网上零散教程误导，keytab文件必须配置，kinit相关操作和配置可以完全省略：

• 核心逻辑要搞清楚：用户登录Windows拿到的是用户本人的票据授权票据（TGT），访问你的应用时会向AD申请针对你服务的服务票据（ST），这个ST是用你应用对应服务账号的密钥加密的，你的Spring应用必须持有这个服务账号的密钥才能解密ST、验证用户身份合法性，和用户用什么操作系统没有任何关系。
• keytab文件就是存储服务账号密钥的文件，只要走Kerberos SSO，服务端必须有这个文件，没有就完不成票据解密，认证根本走不通。
• kinit是手动在服务端生成初始票据缓存的操作，Spring Security Kerberos启动时会直接读取keytab加载密钥，不需要你手动执行kinit命令，也不需要额外配置本地票据缓存路径，这部分配置可以全部删掉。
• application.yml中仅keytab文件路径、服务主体名（SPN）相关配置是必填项，其余和本地票据缓存、手动kinit相关的配置都可以省略。

3. AD管理员侧配置要求&落地建议 #

你现有LDAP配置里的域、访问地址、rootDn、服务账号、用户搜索基、服务账号密码等参数已经覆盖了80%的配置要求，AD管理员仅需要补充3项操作即可：

1. 确认服务账号配置：可以直接复用你现有对接LDAP用的服务账号，不需要新建，确保账号开启「Kerberos AES加密支持」，不要勾选「下次登录必须修改密码」，建议勾选「密码永不过期」，避免后续密钥失效导致SSO不可用。
2. 绑定正确的SPN（服务主体名）：使用setspn命令给服务账号绑定SPN，格式为HTTP/应用访问全域名@域REALM，比如用户访问应用的地址是https://oa.corp.com，域名为CORP.COM，对应的SPN就是HTTP/oa.corp.com@CORP.COM。注意同一个SPN绝对不能绑定到多个AD账号上，否则会直接报KDC_ERR_S_PRINCIPAL_UNKNOWN错误，这是落地时最常见的坑。
3. 生成keytab文件：使用ktpass命令生成对应上述SPN的keytab文件，生成时指定和AD匹配的加密类型（当前生产环境一般用AES256-SHA1），必须保证keytab内存储的密钥和AD中服务账号的密钥完全一致，后续每次修改服务账号密码都要重新生成keytab。

实操避坑建议（比官方示例更易上手）：

• 本地调试不要用localhost访问，SPN不识别localhost，可在本地hosts文件加一个测试域名指向127.0.0.1，给这个测试域名配置SPN即可正常调试
• 浏览器需要开启集成Windows认证：Chrome/Edge默认将加入可信站点的域内站点自动开启票据传递，火狐需要在network.negotiate-auth.trusted-uris配置项中加入你的应用域名
• 测试阶段不要关闭原有表单登录功能，留作兜底，等SSO全流程测通后再调整过滤链优先级
• 报错时优先看服务端日志里的Kerberos错误码，90%的问题都来自SPN配置错误、keytab版本不匹配、加密类型不一致三个原因，不需要盲目修改业务代码

内容的提问来源于stack exchange，提问作者andreas eberle