Kerberos не работает, в заголовке ответа нет токена

Question

Мы пытаемся настроить kerberos, сначала нам пришлось инициализироваться с помощью kinit, чтобы аутентификация работала. Мы создали наших руководителей, как и все остальные в команде. Теперь внезапно три пользователя не могут заставить работать свой Kerberos. Поскольку мы все разработчики, наши машины должны выступать в роли серверов, поэтому у нас есть принципы, созданные для каждой машины.

Странно то, что с самого начала это работало для всех, а сейчас - только для немногих. Мы можем видеть наши имена ключей в klist

Вот как мы создали ключевые таблицы

C:\Windows\system32>ktpass -princ HTTP/<complete system name>@<domain> -pass <password> -mapuser <keytab_filename>@<domain> -ptype krb 5_nt_principal -kvno 0 -out c:\keytabs\<keytab_filename>Targeting domain controller: <domain server>.<domain> Successfully mapped HTTP/<complete system name> to <keytab_filename>. Password succesfully set! Key created. Output keytab to c:\keytabs\<keytab_filename>: Keytab version: 0x502 keysize 84 HTTP/<complete_system_name>@<domain> ptype 1 (KRB5_NT_PR INCIPAL) vno 0 etype 0x17 (RC4-HMAC) keylength 16 (some hash number)

Единственное различие, которое я вижу (от рабочей машины kerberos до нерабочих машин), заключается в том, что заголовки ответа имеют полномочия на согласование, но заголовки ответа не отвечают токеном. Мы не можем понять, в чем проблема.

Pragma: no-cache Connection: keep-alive Content-Length: 71 Cache-Control: no-cache, no-store, must-revalidate Content-Type: text/html;charset=UTF-8 Date: Fri, 30 Jun 2017 20:18:06 GMT Expires: 0 Server: JBoss-EAP/7 WWW-Authenticate: Negotiate X-Powered-By: Undertow/1

Я убедился, что браузер использует Kerberos с этим

Любая помощь с благодарностью.

Answer 1

Моему приложению не хватало зависимости согласования безопасности jboss в веб-модуле.

<jboss-deployment-structure>
  <deployment>
    <dependencies>
      <module name="org.jboss.security.negotiation"/>
    </dependencies>
  </deployment>
</jboss-deployment-structure>

Как только эта зависимость была добавлена, билет kerberos начал появляться в запросе и ответах