Kerberos/SASSL/OpenLDAP: ошибка GSSAPI: не указан сбой GSS. Незначительный код может предоставить больше информации ()

Question

Я устанавливаю openLDAP с аутентификацией SASL с помощью Kerberos. У меня проблема с этим аутентификацией.

Сначала я получаю билет Kerberos с Kinit. Когда я делаю список, отображается билет. Так что нет проблем. Но когда я пытаюсь сделать ldapwhoami. Я получил ошибку:

[hue@sandbox ~]$ kdestroy

[hue@sandbox ~]$ kinit vishnu
Password for [e-mail]:

[hue@sandbox ~]$ klist
Ticket cache: _FILE:/tmp/krb5cc_1007
Default principal: [e-mail]

Valid starting     Expires            Service principal
05/29/14 06:42:52  05/29/14 16:42:52  krbtgt/[e-mail]
        renew until 06/05/14 06:42:48
05/29/14 06:42:57  05/29/14 16:42:52  ldap/[e-mail]
        renew until 06/05/14 06:42:48

[hue@sandbox ~]$ ldapwhoami
SASL/GSSAPI authentication started
ldap_sasl_interactive_bind_s: Other (e.g., implementation specific) error (80)
        additional info: SASL(-1): generic failure: GSSAPI Error: Unspecified GSS failure.  Minor code may provide more information ()

Я не знаю, где искать больше. Пожалуйста, помогите мне.

Answer 1

У меня было то же сообщение об ошибке с отсутствующим второстепенным кодом. При поиске людей с похожими проблемами я заметил, что обычно это связано с недоступным файлом keytab.

В моем случае проблема заключалась в том, что группа из файла /etc/openldap/ldap.keytab была root, а не ldap. Другими возможными проблемами могут быть неправильный или отсутствующий путь KRB5_KTNAME в файле опций slapd (/etc/sysconfig/ldap на red hat 6)