3

我将 Tomcat 设置为使用 SPNEGO 身份验证，因此用户无需输入密码即可单点登录我们的 Web 应用程序，一切正常。昨天我更改了服务帐户的密码并重新创建了 keytab 文件，但在 Tomcat 重新启动后，SSO 停止工作。在我发现的日志中：

 exception [GSSException: Failure unspecified at GSS-API level (Mechanism level: Checksum failed)] with root cause
java.security.GeneralSecurityException: Checksum failed
        at sun.security.krb5.internal.crypto.dk.ArcFourCrypto.decrypt(ArcFourCrypto.java:388)
        at sun.security.krb5.internal.crypto.ArcFourHmac.decrypt(ArcFourHmac.java:74)
        at sun.security.krb5.internal.crypto.ArcFourHmacEType.decrypt(ArcFourHmacEType.java:83)
        at sun.security.krb5.internal.crypto.ArcFourHmacEType.decrypt(ArcFourHmacEType.java:77)
        at sun.security.krb5.EncryptedData.decrypt(EncryptedData.java:168)
        at sun.security.krb5.KrbApReq.authenticate(KrbApReq.java:267)
        at sun.security.krb5.KrbApReq.<init>(KrbApReq.java:134)
       at sun.security.jgss.krb5.InitSecContextToken.<init>(InitSecContextToken.java:79)
        at sun.security.jgss.krb5.Krb5Context.acceptSecContext(Krb5Context.java:724)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:323)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:267)
        at sun.security.jgss.spnego.SpNegoContext.GSS_acceptSecContext(SpNegoContext.java:874)
        at sun.security.jgss.spnego.SpNegoContext.acceptSecContext(SpNegoContext.java:541)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:323)
        at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:267)
        at net.sourceforge.spnego.SpnegoAuthenticator.doSpnegoAuth(SpnegoAuthenticator.java:444)
        at net.sourceforge.spnego.SpnegoAuthenticator.authenticate(SpnegoAuthenticator.java:283)

由于配置应该没问题，我不知道为什么会出现此错误...可能与未刷新的 Ticket Granting Ticket 相关？

4

1 回答 1

1

一种可能性是使用旧密码签发的未完成服务票的人。如果您重新生成了密钥表但未在密钥表中保留旧密钥，那么您希望任何未注销并登录的人刷新他们的票证并且拥有您的服务的服务票证的人会生成该错误。如果您在客户端获得了一个全新的 TGT（比如完全退出 Windows 并重新登录），那么它可以工作，那就是正在发生的事情。如果这不起作用，请编辑您的问题以添加详细信息，我将在另一个答案中探讨其他失败。

于 2013-11-27T21:10:09.580 回答