密码更改后出现Kerberos/Spnego身份验证问题

Question

我将Tomcat设置为使用SPNEGO身份验证，这样用户就可以单点登录到我们的web应用程序，而无需输入密码，一切工作正常。昨天，我更改了服务帐户的密码，并重新创建了密钥表文件，但在Tomcat重启后，SSO无法正常工作。在我发现的日志中：

 exception [GSSException: Failure unspecified at GSS-API level (Mechanism level: Checksum failed)] with root cause
java.security.GeneralSecurityException: Checksum failed
        at sun.security.krb5.internal.crypto.dk.ArcFourCrypto.decrypt(ArcFourCrypto.java:388)
        at sun.security.krb5.internal.crypto.ArcFourHmac.decrypt(ArcFourHmac.java:74)
        at sun.security.krb5.internal.crypto.ArcFourHmacEType.decrypt(ArcFourHmacEType.java:83)
        at sun.security.krb5.internal.crypto.ArcFourHmacEType.decrypt(ArcFourHmacEType.java:77)
        at sun.security.krb5.EncryptedData.decrypt(EncryptedData.java:168)
        at sun.security.krb5.KrbApReq.authenticate(KrbApReq.java:267)
        at sun.security.krb5.KrbApReq.<init>(KrbApReq.java:134)
       at sun.security.jgss.krb5.InitSecContextToken.<init>(InitSecContextToken.java:79)
        at sun.security.jgss.krb5.Krb5Context.acceptSecContext(Krb5Context.java:724)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:323)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:267)
        at sun.security.jgss.spnego.SpNegoContext.GSS_acceptSecContext(SpNegoContext.java:874)
        at sun.security.jgss.spnego.SpNegoContext.acceptSecContext(SpNegoContext.java:541)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:323)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:267)
        at net.sourceforge.spnego.SpnegoAuthenticator.doSpnegoAuth(SpnegoAuthenticator.java:444)
        at net.sourceforge.spnego.SpnegoAuthenticator.authenticate(SpnegoAuthenticator.java:283)

由于配置应该是ok的，我不知道为什么我得到这个error...Could是与未刷新的票证授予票证相关的东西？

Answer 1

一种可能是那些使用旧密码签发了未完成服务票据的人。如果您重新生成了密钥表，但没有在密钥表中保留旧密钥，那么任何没有注销和登录的人都会刷新他们的票证，并且拥有您的服务的服务票证，从而生成该错误。如果您在客户端获得一个全新的TGT (例如，通过完全退出Windows并重新登录)，它就可以工作，这就是正在发生的事情。如果这不起作用，请编辑您的问题以添加详细信息，我将在另一个答案中探索其他失败。