WWW-Authenticate 不适用于 Kerberos（仅 NTLM）

Question

我在为 Intranet 网站设置 SSO 时遇到问题。目前我正在使用 Tomcat 8.0 和Waffle 1.8.4。它们工作得很好，但只有一个问题：浏览器（如here 和here 所述应用设置后的 Firefox 和 IE）无法进行 Kerberos 身份验证，只能进行 NTLM。

我使用 Wireshark 分析了流量，Tomcat 发送 http 标头字段“WWW-Authenticate”，浏览器在标头字段“Authentication”中回答包含 NTLMSSP 的 base64 编码字符串。我猜这不是 Kerberos，还是它？

我读过一篇帖子 (WWW-Authenticate uses NTLM and not Kerberos)，为了让 Kerberos 工作，必须使用命令 setspn.exe 在 AD 中注册服务器。 我尝试为 setspn (described here) 获得正确的语法，但没有任何运气。 服务器有以下参数：

• IP：10.0.0.1

• 服务：Tomcat-Http

• 端口：8080

• 账户名：company-net\foobar

我将这个命令用于setspn：

setspn -A "HTTP/10.0.0.1:8080 company-net\foobar"

但不起作用。服务器和客户端都在同一个 Windows 域中，使用 Windows 10。

这有什么问题？

我还需要什么吗？

Answer 1

Kerberos 依赖 DNS（有效主机名）和 SPN 来运行。到目前为止，您似乎已经做了一些研究，这很好。鲜为人知的是，当您将原本完美运行的正常 Kerberos 客户端指向主机的 IP，而不是指向其 DNS 主机名时，将绕过 Kerberos，而将采用回退身份验证机制 - NTLM 在此案子。

Michael-O，本论坛的顶级 Kerberos 贡献者，said it best with his answer about this back in 2012：

Kerberos 不适用于 IP 地址，它依赖于域名和 仅正确的 DNS 条目。