Проблема

При авторизации сервисного принципала по полученному keytab-файлу появляется ошибка:

kinit: Client 'HTTP/win-01.ad.domain@AD.DOMAIN' not found in Kerberos database while getting initial credentials
CODE

Диагностика

  • Создание сервисного принципала и проверка входа выполняются следующим образом:
    1. Создать пользователя srv-http:
      samba-tool user create --userou OU=TEST srv-http password
    2. Отключить истечение срока пароля:
      samba-tool user setexpiry srv-http --noexpiry
    3. Добавить к учетной записи SPN:
      samba-tool spn add HTTP/name.ad.domain srv-http
    4. Экспортировать таблицу ключей принципала:
      samba-tool domain exportkeytab HTTP@name.ad.domain.keytab --principal=HTTP/name.ad.domain
    5. Проверить вход:
      kinit -5 -V -k -t HTTP@name.ad.domain.keytab HTTP/name.ad.domain

Возможная причина: Samba-tool не меняет userPrincipalName. Перейти к решению.

Возможные причины