使用 GSSAPI 来自 Kerberos 的票证的 LDAP 绑定问题答案

【问题标题】：LDAP Bind issues with ticket from Kerberos using GSSAPI使用 GSSAPI 来自 Kerberos 的票证的 LDAP 绑定问题
【发布时间】：2013-10-10 13:23:52
【问题描述】：

我一直在尝试使用 Kerberos 服务器提供的票证制作一个需要使用 GSSAPI 绑定到 LDAP 服务器的应用程序。为此，我正在使用 Novell 的 JLDAP 库。

我能够从身份验证服务器获取票证，但是当我尝试绑定到服务服务器（在我的情况下为 LDAP）时，我得到 GSSException: Major Status: (589824, Invalid token is provided)，次要状态：（0，未知错误） 并且绑定失败。

AS(Authentication Server) 和 SS(Service Server(LDAP server)) 都在一个代理之后。在这种情况下，他们需要相互认证吗？

我不确定，但我的 java 代码似乎无法获取/识别/解密从 AS（身份验证服务器）收到的令牌。我在 Novell 的 LDAPConnection.java 的 SASL 绑定方法中提供机制名称为“GSSAPI”

有人遇到过这种麻烦吗？造成这种情况的原因和可能的解决方案是什么？请解释一下。

【问题讨论】：

【解决方案1】：

你有configured eDirectory to support GSSAPI吗？

GSAPPI 错误显示在 eDirectory 服务器上的 ndsd.log 文件中。您还可以在 ndstrace 中启用 +LDAP 和 +NMAS 跟踪以查看 GSAPPI 的所有通信。

【讨论】：