NTLM-токен отправлен вместо билета Kerberos

Я пытаюсь внедрить единый вход Kerberos в нашу сеть, используя spnego на сервере Tomcat.

Мы создали учетную запись (TCNKRBGINA) в домене для предварительной аутентификации и установили ее на http-сервере:

Setspn -A HTTPS/testtech.etat-ge.ch TCNKRBGINA
Setspn -A HTTP/testtech.etat-ge.ch TCNKRBGINA

Но клиент (IE или Firefox) отправляет токен NTLM вместо билета Kerberos.

Кажется, что проблема не на стороне сервера, потому что, когда заголовок авторизации не отправляется, он правильно возвращает код состояния 401 с WWW-Authenticate: Negotiate заголовок. Следующий запрос, отправленный клиентом, содержит маркер NTLM до того, как сервер сможет связаться с контроллером домена.

Источник

1 ответ

Решение

Понял, благодаря Wireshark. Имя сервера testtech.etat-ge.ch было определено в DNS как псевдоним для bleutest.ceti.etat-ge.ch. Кажется, что имя, используемое Kerberos, получено путем обратного просмотра.

Источник
Другие вопросы по тегам