Linux下Python2.7手动指定Principal时HTTPKerberosAuth失效求助

我之前帮不少开发者排查过Linux上Python对接Windows Kerberos认证的问题，结合你的场景，手动指定Principal就失败、不指定反而正常，大概率是下面这几个原因：

• Principal格式或类型搞错了
  很多人会误以为手动指定的Principal是自己的用户身份（比如matt@dopeafcompany.com），但实际上大部分Kerberos认证库（比如requests-kerberos）里的principal参数要求填的是IIS服务器的服务主体名称（SPN），也就是HTTP/your-iis-server.dopeafcompany.com@DOPEAFCOMPANY.COM这种格式。如果你填成了自己的用户Principal，库根本没法正确向KDC请求服务票据，自然就401了。而不指定的时候，库会自动从请求URL里提取正确的SPN，所以能正常工作。

• SPN不匹配或未正确注册
  就算你填了服务SPN，如果和IIS服务器在域控制器上注册的SPN不完全一致，Kerberos也会拒绝。比如服务器注册的是HTTP/web01.dopeafcompany.com，你手动填成HTTP/web01或者HTTPS/web01.dopeafcompany.com（如果IIS没注册HTTPS的SPN），都会导致认证失败。不指定时的自动推导是严格跟着URL来的，匹配度更高，所以能成功。

• Kerberos票据缓存的问题
  手动指定Principal后，库可能会尝试使用对应主体的票据缓存，但你的缓存里可能没有这个主体的有效TGT（票据授予票据）。而不指定的时候，库会默认用你当前登录域用户（matt@dopeafcompany.com）的缓存票据，这个是有效的，所以能顺利获取服务票据。你可以用klist命令查看当前缓存的票据，对比下手动指定的Principal对应的票据是否存在且未过期。

• 领域名称大小写踩坑
  Kerberos对领域名称的大小写极度敏感，比如dopeafcompany.com和DOPEAFCOMPANY.COM在Kerberos眼里是完全不同的领域。手动指定Principal时如果把领域部分写成小写，而你的域控制器用的是大写领域，KDC就会不认这个请求。不指定的时候，库会自动从当前用户身份里读取正确的大写领域，所以不会出问题。

• Python库的Principal解析逻辑差异
  不同的Kerberos库处理手动指定Principal的逻辑可能不一样，比如有些库要求Principal必须包含完整的服务类型、主机名和领域，少一个部分都不行。而自动推导的时候，库会帮你补全这些细节，所以不会出错。你可以去查下你用的库的官方文档，确认principal参数的正确格式要求。

内容的提问来源于stack exchange，提问作者Matt