使用SPNEGO（Kerberos TGT）进行身份验证时更改LDAP属性

Question

因此，我成功地通过SPNEGO进行了身份验证，并使用了来自KDC的TGT获得了主体名称。 但是我坚持只通过使用TGT令牌，DN（专有名称）和主体名称来更新LDAP中该用户的属性？

我正在看类似于以下内容的示例：

private static void performJndiOperation(String[] args) {

// Set up environment for creating initial context
Hashtable env = new Hashtable(11);

env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");

// Must use fully qualified hostname
env.put(Context.PROVIDER_URL, "ldap://ldap.jnditutorial.org:389/o=JndiTutorial");

// Request the use of the "GSSAPI" SASL mechanism
// Authenticate by using already established Kerberos credentials
env.put(Context.SECURITY_AUTHENTICATION, "GSSAPI");

try {
    /* Create initial context */
    DirContext ctx = new InitialDirContext(env);

    // do something useful with ctx
    ...

    // Close the context when we're done
    ctx.close();
} catch (NamingException e) {
    e.printStackTrace();
}
}

但是我得到了一个无效凭证的例外：

javax.naming.AuthenticationException: GSSAPI [Root exception is javax.security.sasl.SaslException: GSS initiate failed [Caused by GSSException: No valid credentials provided (Mechanism level: Invalid option setting in ticket request.)]]

请您知道我在做什么错吗？ 非常感谢您的帮助

Answer 1

检查您的krb5.conf是否renewable和proxiable并使用选项。 它实际上应该可以解决您的问题。