Kerberos身份认证支持多服务端访问名称的配置方法咨询

你遇到的报错核心是Kerberos的*服务主体名称（SPN）*校验规则导致的：Kerberos要求客户端访问时使用的服务名，必须预先在KDC（域环境下为域控制器）中注册为对应服务运行账户的有效SPN，你当前仅注册了server01对应的SPN，因此使用server02访问时校验不通过。

1. Windows Active Directory域环境（绝大多数企业场景） #

按文件服务的运行账户类型执行对应操作：

• 首先确认文件服务的运行身份：如果是默认使用服务器本地系统账户运行，对应账户为server01$（即计算机账户）；如果是自定义的域服务账户，使用对应域用户名即可
• 登录域控制器，打开管理员权限的PowerShell或命令提示符
• 执行以下命令添加server02对应的SPN：
  • 运行身份为计算机账户时：

    setspn -S cifs/server02 server01$
    setspn -S cifs/server02.你的域全称 server01$
    

  • 运行身份为自定义域用户（示例为DOMAIN\filesvc）时：

    setspn -S cifs/server02 DOMAIN\filesvc
    setspn -S cifs/server02.你的域全称 DOMAIN\filesvc
    

• 执行setspn -L 账户名验证SPN已添加成功
• 等待域内缓存同步（或重启文件服务器）后即可正常使用server02访问

2. 非AD的独立Kerberos环境 #

在KDC数据库中，为server01对应的服务主体新增server02的别名条目，或直接为同一服务密钥新增server02的服务主体记录，保证两个服务名关联的密钥完全一致即可。

注意事项 #

• 不要为同一个SPN绑定多个账户，否则会触发Kerberos重复SPN冲突，导致所有关联服务验证失败
• 如需IP地址访问也走Kerberos，也可以参照上述方法添加IP对应的SPN，但部分旧版Kerberos实现对IP类SPN支持性较差，生产环境不推荐使用

内容的提问来源于stack exchange，提问作者henry kay