Kerberos klist多次调用后无票据信息输出问题咨询

1. 为什么klist不再显示任何票据信息？ #

你遇到的情况在高频批量调用Kerberos脚本的场景下非常常见，核心原因通常有三类：

• 票据缓存读写冲突：默认所有Kerberos进程会共用同一份票据缓存文件（路径通常为/tmp/krb5cc_<当前用户UID>），每日超600次子脚本并发/串行调用时，多进程同时读写同一个缓存文件很容易出现文件截断、内容损坏，klist无法识别损坏的缓存结构，就只会输出版本和版权信息。
• Oracle Kerberos客户端的自动清理逻辑：Oracle发行版的Kerberos客户端和标准MIT Kerberos实现不同，当缓存内的所有票据超过最长可续约有效期后，Oracle客户端会自动删除缓存内的所有过期票据条目，不会留存无效记录。
• 认证失败导致缓存清空：部分版本的kinit命令默认会在执行前先清空原有票据缓存，如果某一次kinit重认证因网络、密码过期等原因失败，缓存就会被清空，后续klist自然无票据内容输出。

2. 该行为是否属于Kerberos的正常机制？ #

分两种场景判断：

• 若为票据超过最长可续约有效期、被Oracle客户端自动清理导致的无输出，属于对应Kerberos发行版的正常实现差异，不属于故障。
• 若为高频调用导致的缓存文件损坏、kinit失败导致的缓存清空，不属于标准Kerberos的预期正常行为，是并发场景或异常流程触发的问题。
  标准MIT Kerberos的默认逻辑是会留存所有缓存中的票据（包括已过期的），除非手动执行kdestroy、或者执行kinit时指定了清理旧缓存的参数。

3. 是否有方法可让klist依旧像之前一样显示过期票据？ #

可根据你的使用场景选择对应方案：

• 解决并发缓存冲突：给每个子脚本单独指定独立的票据缓存路径，执行子脚本前先设置环境变量export KRB5CCNAME=/tmp/krb5cc_${UID}_$$，$$为当前子脚本的进程ID，可保证缓存路径唯一，完全避免多进程读写冲突，脚本执行结束后可手动删除对应缓存文件即可。
• 调整Oracle klist参数：Oracle版klist支持额外参数强制显示所有缓存条目，可尝试执行klist -a（部分版本参数为klist --show-all，可执行klist --help确认对应参数），即可不过滤过期/无效的票据条目。
• 切换为MIT Kerberos客户端：标准MIT Kerberos客户端默认留存所有过期票据，不会自动清理，也无需额外加参数即可显示过期票据。

4. 是否存在相关守护进程或程序会重置Kerberos票据有效性？ #

确实存在常见的系统进程或定时任务会清理票据、重置有效性：

• /tmp目录清理定时任务：绝大多数Linux发行版会配置定时任务清理/tmp目录下超过指定时长未访问的文件，默认的票据缓存存放在/tmp目录下，长时间未更新就会被直接删除。
• 系统认证守护进程：如果你用了sssd、winbind等服务管理系统认证，这类服务默认会定期清理过期的Kerberos票据缓存，同步票据状态。
• Kerberos自带管理进程：kadmin、kadmind等服务端管理进程，在票据被主动吊销的情况下，也会同步清理对应客户端的缓存记录。

内容的提问来源于stack exchange，提问作者user12642493