Python如何使用keytab连接受Kerberos保护的REST API？

两种方式都可行，优先使用支持keytab传参的封装库，无需依赖系统凭据缓存，也不需要手动处理全流程的令牌生成。

方案1：使用现有封装库（推荐） #

不同技术栈都有成熟的库支持直接传入keytab和principal完成认证，完全不需要调用系统级的kinit，也不会读取操作系统的凭据缓存：

• Python：搭配requests-kerberos和gssapi库即可实现，核心示例代码如下：

  import requests
  import gssapi
  from requests_kerberos import HTTPKerberosAuth, DISABLED
  
  # 初始化指定principal和keytab的凭证
  principal_name = gssapi.Name("your_principal@YOUR_REALM", name_type=gssapi.NameType.user)
  creds = gssapi.Credentials(
      name=principal_name,
      usage="initiate",
      store={"keytab": "/path/to/your/service.keytab"}
  )
  
  # 直接发起请求，库会自动处理令牌生成和头注入
  resp = requests.get(
      "https://target-api.example.com/endpoint",
      auth=HTTPKerberosAuth(mutual_authentication=DISABLED, creds=creds)
  )
  

• Java：使用Apache HttpClient搭配Kerberos相关扩展，可直接在代码中动态配置JAAS参数指定keytab和principal，不需要本地配置文件，也不依赖系统票据缓存。
• Go：使用gokrb5库，内置加载keytab、生成SPNEGO令牌的封装方法，直接注入请求头即可，封装度较高。

方案2：手动实现令牌流程 #

如果所用技术栈没有对应的封装库，手动实现的复杂度也很低，步骤如下：

• 调用对应平台的Kerberos底层接口，传入keytab和principal向KDC申请TGT票据
• 用TGT交换目标API服务对应的ST（服务票据），编码为SPNEGO格式的令牌
• 给HTTP请求添加头：Authorization: Negotiate <base64编码后的SPNEGO令牌>即可完成认证
• 注意要做票据本地缓存，避免每次请求都重复向KDC申请，降低请求耗时

内容的提问来源于stack exchange，提问作者notaras