401 SPNEGO SSO с клиентом Linux

Question

Мне не удается настроить виртуальную машину Ubuntu для единой регистрации в моем веб-приложении Spring Security под Spnego. Я сделал что-то не так или я что-то упустил?

Я уже получил SSO на виртуальной машине Windows 7, так что я считаю, что это специфично для Linux.

Моя конфигурация подробно описана ниже.

---

ниже

У меня есть четыре машины, которые работают на двух разных аппаратных средствах:

1. WIN-SRV2008.company.local: виртуальная машина KDC под управлением Windows Server 2008 (оборудование A)
2. TOMCAT.company.local: работает Tomcat 7 веб-приложение (аппаратное обеспечение A)
3. W7-CLIENT.company.local: Клиент виртуальной машины Windows 7, с которым работает единый вход (аппаратное обеспечение B)
4. U-CLIENT.company.local: Клиент VM Ubuntu 17.10.1 без единого входа (аппаратное обеспечение B)

---

SPN

Мой SPN, krb5.ini а также login.conf были основаны на описании этой темы.

---

SPNEGO

Я в основном следовал Spring Security Kerberos - Справочная документация, за исключением удаления формы входа, в результате чего:

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Value("${kerberos.service-principal}")
    private String servicePrincipal;

    @Value("${kerberos.keytab-location}")
    private String keytabLocation;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        AffirmativeBased affirmativeBased = new AffirmativeBased(Arrays.asList(new RoleVoter(),new WebExpressionVoter()));
        http
            .authorizeRequests().accessDecisionManager(affirmativeBased)
            .anyRequest().authenticated()
            .and()
        .httpBasic()
            .authenticationEntryPoint(entryPoint())
            .and()
        .logout()
            .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .and()
        .addFilterBefore(
                    spnegoAuthenticationProcessingFilter(authenticationManagerBean()),
                    BasicAuthenticationFilter.class)
        .sessionManagement()
        .invalidSessionUrl("/login")
        .maximumSessions(1)
        .maxSessionsPreventsLogin(true)
        .sessionRegistry(sessionRegistry());
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .authenticationProvider(kerberosAuthenticationProvider())
            .authenticationProvider(kerberosServiceAuthenticationProvider());
    }

    @Bean
    public SpnegoEntryPoint entryPoint() {
        return new SpnegoEntryPoint();
    }

    @Bean
    public KerberosAuthenticationProvider kerberosAuthenticationProvider() {
        LoginKerberosAuthentication provider = new LoginKerberosAuthentication();
        SunJaasKerberosClient client = new SunJaasKerberosClient();
        client.setDebug(true);
        provider.setKerberosClient(client);
        provider.setUserDetailsService(usuarioDetailsService());
        return provider;
    }

    @Bean
    public SpnegoAuthenticationProcessingFilter spnegoAuthenticationProcessingFilter(
        AuthenticationManager authenticationManager) {
        SpnegoAuthenticationProcessingFilter filter = new SpnegoAuthenticationProcessingFilter();
        filter.setAuthenticationManager(authenticationManager);
        return filter;
    }

    @Bean
    public KerberosServiceAuthenticationProvider kerberosServiceAuthenticationProvider() {
        KerberosServiceAuthenticationProvider provider = new KerberosServiceAuthenticationProvider();
        provider.setTicketValidator(sunJaasKerberosTicketValidator());
        provider.setUserDetailsService(usuarioDetailsService());
        return provider;
    }

    @Bean
    public SunJaasKerberosTicketValidator sunJaasKerberosTicketValidator() {
        SunJaasKerberosTicketValidator ticketValidator = new SunJaasKerberosTicketValidator();
        ticketValidator.setServicePrincipal(servicePrincipal);
        ticketValidator.setKeyTabLocation(new FileSystemResource(keytabLocation));
        ticketValidator.setDebug(true);
        return ticketValidator;
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Bean
    public UsuarioDetailsService usuarioDetailsService() {
        return new UsuarioDetailsService();
    }

---

Клиент Ubuntu

Чтобы присоединиться к домену, я выполнил следующие действия:

sudo apt-get install realmd krb5-user software-properties-common python-software-properties packagekit

sudo realm join COMPANY.local -U '[e-mail]' -v

Пока я не сгенерировал билет Kerberos с:

kinit [e-mail]

Я на самом деле проверил кеш с klist, что высказывается:

Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: [e-mail]

Valid starting        Expires                Service principal
30/10/2018 17:25:47   31/10/2018 03:25:47    krbtgt/[e-mail]
            renew until 31/10/2018 17:25:43

И наконец, я успешно прошел аутентификацию, используя:

sudo su [e-mail]

---

SSO - проблема

Когда я пытаюсь получить доступ к домашней странице своего приложения с помощью Firefox (с настройкой доверенных сайтов) так же, как и с клиентом Windows 7, я получаю только заголовок 401 Negotiate, и токен ответа не отправляется. Это означает, что при вводе фактического URL SpnegoEntryPoint конструктор, я перенаправлен на этот запасной вариант.

---

заранее спасибо

Answer 1

Благодаря комментарию Самсона мне удалось заставить его работать.

Я действительно переключался на пустой кеш, выполнив sudo su [e-mail], что заставило мое приложение войти в систему с ответом 401.