Spring Boot连接MSSQL改用Kerberos认证的配置修改咨询

嗨，我来帮你梳理下怎么完成这个转换，其实步骤并不复杂，咱们一步步来：

一、先确认前提条件 #

• 你的MSSQL服务器已经配置好Kerberos认证，并且服务主体名称（SPN，比如MSSQLSvc/your-sql-host.your-domain.com:1433）已经正确注册到域控制器。
• 运行Spring Boot应用的机器能访问Kerberos KDC服务器，要么加入了对应域，要么能通过配置文件定位到KDC。
• 使用支持Kerberos的MSSQL JDBC驱动，推荐用Microsoft JDBC Driver 9.0及以上版本（Spring Boot的starter一般会管理这个，但最好确认下）。

二、修改application.properties配置 #

直接替换掉原来的用户名密码配置，改成Kerberos相关的参数：

# 核心：在URL里添加authenticationScheme=JavaKerberos，指定用Kerberos认证
spring.datasource.url=jdbc:sqlserver://localhost;databaseName=springbootd;authenticationScheme=JavaKerberos

# 删掉原来的用户名密码配置
# spring.datasource.username=sa
# spring.datasource.password=Projects@123

# 可选：如果需要指定Kerberos配置文件路径（也可以通过JVM启动参数设置）
spring.datasource.hikari.data-source-properties.java.security.auth.login.config=/opt/config/krb5.conf
spring.datasource.hikari.data-source-properties.java.security.krb5.conf=/opt/config/krb5.conf

三、配置Kerberos相关文件 #

1. krb5.conf（Kerberos配置文件） #

这个文件用来指定KDC地址、域信息，示例内容如下，你需要替换成自己的域和KDC服务器地址：

[libdefaults]
default_realm=YOUR_COMPANY.COM
dns_lookup_kdc=true
dns_lookup_realm=true
ticket_lifetime=24h
renew_lifetime=7d
forwardable=true

[realms]
YOUR_COMPANY.COM = {
    kdc=kdc.your-company.com
    admin_server=kdc.your-company.com
    default_domain=your-company.com
}

[domain_realm]
.your-company.com=YOUR_COMPANY.COM
your-company.com=YOUR_COMPANY.COM

2. JAAS登录配置文件（可选，用于KeyTab认证） #

如果你的应用是作为服务运行（比如在Tomcat或Docker里），没法用当前登录用户的Kerberos票据，就需要用KeyTab文件来持久化凭证。创建一个login.conf文件：

SQLJDBCDriver {
    com.sun.security.auth.module.Krb5LoginModule required
    useKeyTab=true
    keyTab="/opt/config/your-service-account.keytab"
    principal="your-service-account@YOUR_COMPANY.COM"
    storeKey=true
    useTicketCache=false;
};

然后在application.properties里添加这个配置，或者通过JVM启动参数指定：-Djava.security.auth.login.config=/opt/config/login.conf

四、JVM启动参数补充（可选） #

如果不想在application.properties里配置Kerberos文件路径，也可以直接在应用启动时添加JVM参数：

java -jar your-app.jar \
-Djava.security.krb5.conf=/opt/config/krb5.conf \
-Djava.security.auth.login.config=/opt/config/login.conf

五、常见坑点提醒 #

• 时间同步：Kerberos对时间敏感，应用服务器和KDC服务器的时间差不能超过5分钟，否则会认证失败。
• SPN正确性：确保MSSQL服务器的SPN已经正确注册，并且和运行SQL服务的账号绑定，可以用setspn -L sql-service-account命令检查。
• 权限问题：KeyTab文件的权限要设置正确，确保应用进程能读取（比如设置为600，属主是运行应用的用户）。
• 驱动版本：旧版JDBC驱动可能不支持authenticationScheme=JavaKerberos参数，一定要用最新版。

内容的提问来源于stack exchange，提问作者ThinkGeek