Kerberos keytab在不同的主机上工作

问题描述

我遇到了一个问题。将为test01/[e-mail]生成一个密钥表。我以为它只能在host01上使用。但是它可以在其他主机上工作。 host01没有意义。如何仅在host01上使用密钥表。 非常感谢！

解决方法

这里几乎没有足够的信息可以为您提供有意义的答案。

密钥表被设计为便携式密钥存储格式，因此任何服务都可以基于文件中的密钥来请求或接受票证。 Kerberos要成功就需要拥有KDC知道的密钥和文件中的密钥来匹配。一旦它们匹配了所有加密货币作品，便弹出票证。

因此，在不完全了解您所处的环境或正在运行的尝试限制每台计算机的代码的情况下，可以说的最好是：这是设计使然。

,

键标签不是特定于主机的。它们等同于密码。

Keytab包含SPN和相应的密码条目。 SPN只是应用程序服务的名称-例如HTTP /主机名：PORT

Microsoft建议每个应用程序使用一个密钥表。
在这种情况下，如果在两个不同的主机上运行两个不同的应用程序，则相同的密钥表将无法在两个主机上运行。 （请注意-一个keytab可以具有多个SPN条目，然后相同的keytab可能适用于两个应用程序。）

如果您使用的面部URL和实际应用程序URL不同的负载平衡环境，则可以使用面部URL作为SPN生成密钥表。可以在所有内部节点之间共享（复制）相同的keytab。