JSch не может подключиться через файл ключей Kerberos

Question

Я создал приложение Java, которое запускает команду через ssh. С первой попытки я прошел аутентификацию по имени пользователя и паролю, и все заработало нормально.

Теперь я хочу использовать файл ключей Kerberos для аутентификации, но это создает проблемы!

Вот несколько слов о моей конфигурации:

• Сервер KDC: my-server.de
• Название царства: MYREALM.DE
• Имя пользователя Keytab: keytabuser
• KDC = сервер: работает на CentOS 7
• мой клиент: Windows 8.1 (x64) со всеми настройками по умолчанию, Kerberos for Windows установлены
• мое имя пользователя на клиенте: Daniel
• kinit -kt ... кажется, работает нормально, поэтому файл keytab также должен быть в порядке

То, что у меня есть, это фрагмент кода:

public static void main(String[] args) {
        String host = "my-server.de";
        String user = "keytabuser";
        String  command = "ls -l";

        JSch jsch = new JSch();
        jsch.setLogger(new MyLogger());

        System.setProperty("java.security.krb5.conf", "C:\\ProgramData\\MIT\\Kerberos5\\krb5.ini");
        System.setProperty("java.security.auth.login.config", "C:\\ProgramData\\MIT\\Kerberos5\\jaas.conf");
        System.setProperty("javax.security.auth.useSubjectCredsOnly", "false");

        //to enable kerberos debugging mode
        System.setProperty("sun.security.krb5.debug", "true");

        try {
            Session session = jsch.getSession(user, host, 22);
            Properties config = new java.util.Properties();
            config.put("StrictHostKeyChecking", "no");
            config.put("PreferredAuthentications", "gssapi-with-mic");

            session.setConfig(config);
            session.connect(20000);

            Channel channel = session.openChannel("exec");
            ... // Do the commands

            channel.disconnect();
            session.disconnect();
            System.out.println("DONE");

        } catch (JSchException e) {
            e.printStackTrace();
        } catch (IOException e) {
            e.printStackTrace();
        }
}

Это мое jaas.conf файл:

com.sun.security.jgss.krb5.initiate {
  com.sun.security.auth.module.Krb5LoginModule required
  doNotPrompt=true
  principal="[e-mail]"
  useKeyTab=true
  keyTab="C:\ProgramData\MIT\Kerberos5\keytabuser.keytab"
  storeKey=true;
};

И вот мой krb5.ini файл:

[libdefaults]
  default_realm = MYREALM.DE

[realms]
  MYREALM.DE = {
    admin_server = my-server.de
    kdc = my-server.de
  }

Когда я запускаю это приложение, я получаю следующий вывод:

ОБНОВЛЕНО: Новый вывод консоли после новой зависимости jsch 0.1.54

INFO: Connecting to my-server.de port 22
INFO: Connection established
INFO: Remote version string: SSH-2.0-OpenSSH_6.6.1
INFO: Local version string: SSH-2.0-JSCH-0.1.54
INFO: CheckCiphers: aes256-ctr,aes192-ctr,aes128-ctr,aes256-cbc,aes192-cbc,aes128-cbc,3des-ctr,arcfour,arcfour128,arcfour256
INFO: aes256-ctr is not available.
INFO: aes192-ctr is not available.
INFO: aes256-cbc is not available.
INFO: aes192-cbc is not available.
INFO: CheckKexes: diffie-hellman-group14-sha1,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521
INFO: CheckSignatures: ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521
INFO: SSH_MSG_KEXINIT sent
INFO: SSH_MSG_KEXINIT received
INFO: kex: server: [e-mail],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1
INFO: kex: server: ssh-rsa,ecdsa-sha2-nistp256,ssh-ed25519
INFO: kex: server: aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,[e-mail],[e-mail],[e-mail],aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[e-mail]
INFO: kex: server: aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,[e-mail],[e-mail],[e-mail],aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[e-mail]
INFO: kex: server: [e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],hmac-md5,hmac-sha1,[e-mail],[e-mail],hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,[e-mail],hmac-sha1-96,hmac-md5-96
INFO: kex: server: [e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],hmac-md5,hmac-sha1,[e-mail],[e-mail],hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,[e-mail],hmac-sha1-96,hmac-md5-96
INFO: kex: server: none,[e-mail]
INFO: kex: server: none,[e-mail]
INFO: kex: server: 
INFO: kex: server: 
INFO: kex: client: ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1
INFO: kex: client: ssh-rsa,ssh-dss,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521
INFO: kex: client: aes128-ctr,aes128-cbc,3des-ctr,3des-cbc,blowfish-cbc
INFO: kex: client: aes128-ctr,aes128-cbc,3des-ctr,3des-cbc,blowfish-cbc
INFO: kex: client: hmac-md5,hmac-sha1,hmac-sha2-256,hmac-sha1-96,hmac-md5-96
INFO: kex: client: hmac-md5,hmac-sha1,hmac-sha2-256,hmac-sha1-96,hmac-md5-96
INFO: kex: client: none
INFO: kex: client: none
INFO: kex: client: 
INFO: kex: client: 
INFO: kex: server->client aes128-ctr hmac-md5 none
INFO: kex: client->server aes128-ctr hmac-md5 none
INFO: SSH_MSG_KEX_ECDH_INIT sent
INFO: expecting SSH_MSG_KEX_ECDH_REPLY
INFO: ssh_rsa_verify: signature true
WARN: Permanently added 'my-server.de' (RSA) to the list of known hosts.
INFO: SSH_MSG_NEWKEYS sent
INFO: SSH_MSG_NEWKEYS received
INFO: SSH_MSG_SERVICE_REQUEST sent
INFO: SSH_MSG_SERVICE_ACCEPT received
INFO: Authentications that can continue: gssapi-with-mic
INFO: Next authentication method: gssapi-with-mic
INFO: Disconnecting from my-server.de port 22
com.jcraft.jsch.JSchException: Auth fail
    at com.jcraft.jsch.Session.connect(Session.java:519)
    at kerberos.JschKerberos.main(JschKerberos.java:49)

Что-то не так с моей конфигурацией? Существуют ли условия между локальным (пользователь, домен и т. Д.) И удаленным?

Answer 1

Я наконец нашел решение! Это была недостающая служебная таблица ключей для sshd оказание услуг! Некоторые участники службы не генерируются автоматически сервером Kerberos. Так что это должно быть сделано вручную кадмином, так как sshd Сервис также должен пройти аутентификацию в Kerberos! Это сделано host/fqdn@REALM главный.

Важно здесь: "host" - это фиксированная строка (!), Я всегда заменял ее именем хоста моего сервера OpenSSH... Итак, вашими данными должны быть заменены только "fqdn" и "REALM.COM"!

• См. Это для получения дополнительной информации (на немецком языке): http://www.pks.mpg.de/~mueller/docs/suse10.3/opensuse-manual_de/manual/sec.kerbadmin.hostprinc.html
• Здесь также показаны шаги (на английском языке): http://www.microhowto.info/howto/create_a_host_principal_using_mit_kerberos.html

Таким образом, это были необходимые шаги для меня, чтобы заставить приложение работать:

1. Задавать GSSAPIAuthentication yes в /etc/ssh/sshd_conf файл конфигурации сервера OpenSSH
2. Задавать Host * [...] GSSAPIAuthentication yes в /etc/ssh/ssh_conf конфигурационный файл клиента ssh
3. Проверить jaas.conf а также krb5.conf (или же .ini) файлы на клиенте для правильных настроек (см. блоки кода в разделе вопросов выше)
4. На сервере Kerberos откройте kadmin.local и введите ktadd host/my-server.de
5. необязательно: добавьте пользователя (если еще не существует): ktadd keytabuser
6. Делать kinit keytabuser (с паролем) или kinit -kt /path/to/file.keytab keytabuser (обычная команда Kerberos)
7. Проверьте, аутентифицирован ли пользователь через klist
8. Запустите приложение или SSH напрямую через консоль ssh [e-mail]
9. Вы должны войти в систему по кешированному билету!

Конечно, пользователь keytabuser должен быть пользователем на машине ssh-сервера!