如何基于OMD/Thruk实现多站点Kerberos认证并禁用Thruk登录表单

我来帮你一步步搞定这个问题——首先得明确：OMD自带的Apache实例和系统Apache是完全独立的，不能直接复用系统配置；另外Thruk的登录表单需要通过调整它的认证插件来禁用，具体操作如下：

1. 让OMD的Apache正确加载Kerberos模块并应用认证配置 #

每个OMD站点都有独立的Apache环境，配置文件存放在/opt/omd/sites/<你的站点名>/etc/apache/conf.d/目录下。你需要在这里创建或修改Kerberos相关配置文件（比如命名为kerberos.conf）：

步骤1：确认Kerberos模块加载 #

如果OMD Apache还没加载mod_auth_kerb，先在配置文件顶部添加：

LoadModule auth_kerb_module modules/mod_auth_kerb.so

步骤2：复制并适配Kerberos认证配置 #

把你系统Apache中验证有效的Kerberos配置，针对Thruk的路径（通常是/thruk/）进行调整，示例配置如下：

<Location /thruk/>
    AuthType Kerberos
    AuthName "OMD Kerberos SSO"
    KrbMethodNegotiate On
    KrbMethodK5Passwd Off
    KrbAuthRealms YOUR.DOMAIN.REALM
    Krb5Keytab /path/to/your/omd-service.keytab
    KrbServiceName HTTP/your.omd.server.fqdn@YOUR.DOMAIN.REALM
    KrbSaveCredentials On
    Require valid-user
</Location>

注意要点：

• 确保keytab文件的权限正确，OMD站点专属用户（比如你的站点名称对应的用户）需要有读取权限
• KrbServiceName必须和keytab中存储的服务主体完全一致，不能有拼写错误

步骤3：重启OMD Apache服务 #

配置完成后，用OMD专属命令重启Apache：

omd restart apache

2. 配置Thruk信任Apache认证并禁用登录表单 #

Thruk默认会显示自己的登录表单，需要修改它的配置，让它信任Apache传递的REMOTE_USER变量，从而跳过表单登录：

编辑Thruk的主配置文件/opt/omd/sites/<你的站点名>/etc/thruk/thruk.conf，找到并修改以下参数：

# 切换认证插件为RemoteUser，信任Apache的认证结果
$c->{'auth_plugin'} = 'RemoteUser';
# 指定从Apache获取用户名的变量
$c->{'remote_user_variable'} = 'REMOTE_USER';
# 启用自动登录，无需手动触发
$c->{'remote_user_autologin'} = 1;
# 完全禁用登录表单显示
$c->{'show_login_form'} = 0;

可选：Kerberos用户与OMD内部用户映射 #

如果你的Kerberos用户名和OMD/Thruk内部用户名不一致，还需要添加映射规则。可以在/opt/omd/sites/<你的站点名>/etc/thruk/conf.d/auth.conf中配置：

$c->{'remote_user_map'} = {
    'user1@YOUR.DOMAIN.REALM' => 'omd_user1',
    'user2@YOUR.DOMAIN.REALM' => 'omd_user2',
};

修改完成后，重启整个OMD站点让配置生效：

omd restart

3. 验证配置是否生效 #

用curl命令测试Kerberos认证是否正常触发：

curl -I --negotiate -u : http://your.omd.server.fqdn/thruk/

如果响应头中包含WWW-Authenticate: Negotiate，且最终返回200状态码，说明Kerberos配置生效。此时访问Thruk应该直接通过SSO登录，不会再弹出登录表单。

内容的提问来源于stack exchange，提问作者magowiz