"KDC не поддерживает тип шифрования" при настройке межобластного доверия между MIT Kerberos и Active Directory

В настоящее время я настраиваю среду, в которой у меня есть набор машин Solaris и Linux, использующих выделенную область Krberos 5 (MIT, в Solaris 11, krb5-config --version возвращает: Solaris Kerberos (based on MIT Kerberos 5 release 1.6.3)). У нас также есть сервер Active Directory (Windows 2003) для отдельной области.

Моя цель состоит в том, чтобы все пользователи на сервере AD, а также субъекты host/nnn, nfs/nnn и cifs/nnn в области MIT. Я пытаюсь установить междоменное доверие между этими двумя сферами.

Предположим следующее:

• Область Unix: EXAMPLE.COM
• AD realm: AD.EXAMPLE.COM

Я настроил межобластное доверие AD в соответствии с документацией Microsoft с двусторонним доверием.

Что происходит, так это то, что межрегиональная аутентификация работает только в одном направлении. Из AD в Unix работает:

# kinit adtest@AD.EXAMPLE.COM
Password for adtest@AD.EXAMPLE.COM: 
root@clienttest2:~# kvno ltest@EXAMPLE.COM
ltest@EXAMPLE.COM: kvno = 1

Но обратное не дает и выдает сообщение об ошибке: KDC не поддерживает тип шифрования при получении учетных данных для adtest@AD.EXAMPLE.COM

# kinit ltest@EXAMPLE.COM
Password for ltest@EXAMPLE.COM: 
root@clienttest2:~# kvno adtest@AD.EXAMPLE.COM
kvno: KDC has no support for encryption type while getting credentials for adtest@AD.EXAMPLE.COM

Обратите внимание, что я пробовал все виды разных вещей. Некоторые из них:

• Настроил кросс-царские ключи на стороне Unix для использования rc4-hmac только с тем эффектом, что вызов kvno даже не сможет найти KDC на стороне Microsoft.
• добавленной default_tkt_enctypes а также default_tgs_enctypes записи, чтобы заставить использование rc4-hmac, Это было необходимо только для того, чтобы заставить работать аутентификацию по AD.

Что может быть причиной этого, и как я могу выяснить, что на самом деле происходит? В частности, было бы очень полезно точно знать, какой тип шифрования он пытается использовать, для которого KDC не поддерживает. Также было бы полезно узнать, какой KDC отправил ошибку.

Для полноты, вот содержание krb5.conf файл:

[libdefaults]
    default_realm = EXAMPLE.COM
    allow_weak_crypto = true
        verify_ap_req_nofail = false
        default_tkt_enctypes = rc4-hmac
        default_tgs_enctypes = rc4-hmac

[realms]
    EXAMPLE.COM = {
        kdc = unix-server.example.com
        admin_server = unix-server.example.com
    }
    AD.EXAMPLE.COM = {
        kdc = ad-server.ad.example.com
        admin_server = ad-server.ad.example.com
    }

[domain_realm]
    .example.com = EXAMPLE.COM
    .ad.example.com = AD.EXAMPLE.COM

[capaths]
    EXAMPLE.COM = {
        AD.EXAMPLE.COM = .
    }
    AD.EXAMPLE.COM = {
        EXAMPLE.COM = .
    }

[logging]
    default = FILE:/var/krb5/kdc.log
    kdc = FILE:/var/krb5/kdc.log
    kdc_rotate = {
        period = 1d
        versions = 10
    }

[appdefaults]
    kinit = {
        renewable = true
        forwardable = true
    }