“检测到有缺陷的令牌” Kerberos/Spring Security/IE/Active Directory 出现错误（NTLM 不是 Kerberos）

Question

我们在让 Spring Security/Kerberos/AD 适用于我们的 Web 应用程序时遇到问题。我们的诊断是，我们的 AD 服务器将 NTLM 令牌（我们可以看出它以“TlRMTVNT.....”开头）发送到 IE，然后 IE 将其发送到我们的应用程序，但失败了。我们的 AD 服务器应该向 IE 发送 Kerberos/SPNEGO 令牌。

“移动部件”如下：

• Spring Security 3.0（已修补）
• Microsoft Windows Server Enterprise 2003 SP1 Active Directory
• IE 8
• Tomcat (TC Server 6.0)
• Java 1.6

我们已按照此处说明中的详细信息设置了所有内容：

https://spring.io/blog/2009/09/28/spring- security-kerberos-spnego-extension

这涉及到：

• 创建一个普通用户作为服务主体（与我们的应用程序所在的计算机名称相同）。我们设置以下帐户选项：
  • 禁用“下次登录时必须更改密码”
  • 启用“密码永不过期”
  • 启用“使用 Kerberos DES...”
  • 禁用“不需要 Kerberos 预身份验证”
  • 注意：Server 2003 不提供“此帐户支持 Kerberos AES 128 位...”和“此帐户支持 Kerberos AES 256 位...”选项
• 使用“ktpass.exe”将服务主体名称 (SPN) 分配给该新用户，并将该用户密钥导出到密钥表文件。使用 'ktpass /out ourweb.keytab /mapuser [电子邮件受保护] /princ HTTP /[电子邮件受保护] /pass *'
• 从 https://src.springframework.org/svn/se-security/trunk。
• 将 keytab 文件从 AD 服务器复制到源代码（应用程序）的 WEB-INF/etc 中。
• 对文件 SunJaasKerbersoTicketValidator.java 进行更改以读取密钥表文件。 （解决应用程序无法从Java类路径读取keytab文件的bug） options.put("keyTab", "C:\se-security\spring-security-kerberos\spring-security-kerberos-sample\src\main\webapp\WEB-INF\etc\ourweb.keytab");
• 配置 web.xml 以使用 spnego.xml。 上下文配置位置 /WEB-INF/spnego.xml
  • 通过提供我们的服务主体名称和密钥表文件位置，将 Spring Security (spnego.xml) 配置为使用 Kerberos（SpnegoEntryPoint、SpnegoAuthenticationProcessingFilter 和 KerberosServiceAuthenticationProvider beans）。
  • 配置 spnego.xml 以读取 WEB-INF/etc 中复制的 keytab 文件。

当我们启动 TC 服务器时，我们可以看到一切顺利初始化（即没有错误 - “从密钥表获取的原理密钥”）：

Creating instance of bean 'org.springframework.security.extensions.kerberos.SunJaasKerberosTicketValidator#10fa4b8' 
Invoking afterPropertiesSet() on bean with name 'org.springframework.security.extensions.kerberos.SunJaasKerberosTicketValidator#10fa4b8' 
Config name: C:\WINDOWS\krb5.ini
Debug is  true storeKey true useTicketCache false useKeyTab true doNotPrompt true ticketCache is null isInitiator false KeyTab is C:\se-security\spring-security-kerberos\spring-security-kerberos-sample\src\main\webapp\WEB-INF\etc\ourwebapp4.keytab refreshKrb5Config is false principal is HTTP/ourwebappweb4.testdomain.ourcompany.co.uk tryFirstPass is false useFirstPass is false storePass is false clearPass is false
>>> KeyTabInputStream, readName(): TESTDOMAIN.OURCOMPANY.CO.UK
>>> KeyTabInputStream, readName(): HTTP
>>> KeyTabInputStream, readName(): ourweb
>>> KeyTab: load() entry length: 78; type: 1
>>> KeyTabInputStream, readName(): TESTDOMAIN.OURCOMPANY.CO.UK
>>> KeyTabInputStream, readName(): HTTP
>>> KeyTabInputStream, readName(): ourweb.testdomain.ourcompany.co.uk
>>> KeyTab: load() entry length: 113; type: 1
Added key: 1version: 2
Ordering keys wrt default_tkt_enctypes list
default etypes for default_tkt_enctypes: 1.
0: EncryptionKey: keyType=1 kvno=2 keyValue (hex dump)=
0000: 91 01 43 E3 02 A8 B9 83   

principal's key obtained from the keytab
principal is HTTP/[email protected]
EncryptionKey: keyType=1 keyBytes (hex dump)=0000: 91 01 43 E3 02 A8 B9 83   
Added server's keyKerberos Principal HTTP/ourweb.testdomain.ourcompany.co.uk@TESTDOMAIN.OURCOMPANY.CO.UKKey Version 2key EncryptionKey: keyType=1 keyBytes (hex dump)=
0000: 91 01 43 E3 02 A8 B9 83   

[Krb5LoginModule] added Krb5Principal  HTTP/[email protected] to Subject Commit Succeeded 

Finished creating instance of bean 'org.springframework.security.extensions.kerberos.SunJaasKerberosTicketValidator#10fa4b8' 

准备测试，然后我们在 IE 中启用“Windows 集成身份验证”并确保列出该域在 IE 的本地 Intranet 站点部分。然后，我们使用完全限定域名连接到我们的 Web 应用程序。

收到以下错误：

500 Internal server error.

当我们这样做时，我们在浏览器中和 TC 服务器日志文件中

Negotiate Header was invalid: Negotiate     TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFASgKAAAADw== 
  org.springframework.security.authentication.BadCredentialsException: Kerberos validation not succesfull
  at org.springframework.security.extensions.kerberos.SunJaasKerberosTicketValidator.validateTicket(SunJaasKerberosTicketValidator.java:74)
  at org.springframework.security.extensions.kerberos.KerberosServiceAuthenticationProvider.authenticate(KerberosServiceAuthenticationProvider.java:92)
  at org.springframework.security.authentication.ProviderManager.doAuthentication(ProviderManager.java:120)
  at org.springframework.security.authentication.AbstractAuthenticationManager.authenticate(AbstractAuthenticationManager.java:48)
  at org.springframework.security.extensions.kerberos.web.SpnegoAuthenticationProcessingFilter.doFilter(SpnegoAuthenticationProcessingFilter.java:132)
  at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:355)
  at org.springframework.security.web.context.SecurityContextPersistenceFilter.doFilter(SecurityContextPersistenceFilter.java:79)
  at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:355)
  at org.springframework.security.web.FilterChainProxy.doFilter(FilterChainProxy.java:149)
  at org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate(DelegatingFilterProxy.java:237)
  at org.springframework.web.filter.DelegatingFilterProxy.doFilter(DelegatingFilterProxy.java:167)
  at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:235)
  at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:206)
  at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:233)
  at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:191)
  at com.springsource.metrics.collection.web.HttpRequestMetricCollectionValve.invoke(HttpRequestMetricCollectionValve.java:44)
  at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:128)
  at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:102)
  at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:109)
  at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:293)
  at org.apache.coyote.http11.Http11Processor.process(Http11Processor.java:849)
  at org.apache.coyote.http11.Http11Protocol$Http11ConnectionHandler.process(Http11Protocol.java:583)
  at org.apache.tomcat.util.net.JIoEndpoint$SocketProcessor.run(JIoEndpoint.java:379)
  at java.util.concurrent.ThreadPoolExecutor$Worker.runTask(ThreadPoolExecutor.java:886)
  at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:908)
  at java.lang.Thread.run(Thread.java:619)
Caused by: java.security.PrivilegedActionException: GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)
  at java.security.AccessController.doPrivileged(Native Method)
  at javax.security.auth.Subject.doAs(Subject.java:396)
  at org.springframework.security.extensions.kerberos.SunJaasKerberosTicketValidator.validateTicket(SunJaasKerberosTicketValidator.java:72)
  ... 25 more
Caused by: GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)
  at sun.security.jgss.GSSHeader.<init>(GSSHeader.java:80)
  at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:287)
  at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:267)
  at org.springframework.security.extensions.kerberos.SunJaasKerberosTicketValidator$KerberosValidateAction.run(SunJaasKerberosTicketValidator.java:161)
  at org.springframework.security.extensions.kerberos.SunJaasKerberosTicketValidator$KerberosValidateAction.run(SunJaasKerberosTicketValidator.java:1)
  ... 28 more
SecurityContextHolder now cleared, as request processing completed

看起来（从我们可以看出的情况来看）AD 服务器发送了一个 NTLM 令牌（我们可以看出它以“TlRMTVNT.txt”开头）。 ....") 到 IE，然后 IE 将其发送到我们的应用程序，但失败了。

我们的 AD 服务器应该向 IE 发送 Kerberos/SPNEGO 令牌。

其他注意事项：

• 我们的服务器（tc 服务器）和客户端（浏览器）位于不同的（虚拟）机器上且位于同一域中。

Answer 1

当您在同一台计算机上运行客户端和服务器时，可能会发生这种情况。当您使用 IE 与运行 tomcat 的机器对话时，请确保它们是不同的机器。

此外，您需要确保服务器计算机已加入密钥表 (testdomain.ourcompany.co.uk) 中指定的域，否则您可能会退回到 NTLM。即使您的服务器位于未加入域的计算机上，您的密钥表仍然可以工作（您将看到您显示的漂亮的密钥表解密），但 IE 可能会感到困惑并且无法执行正确的操作。

AD 只喜欢在 Server 2003 中使用 arcfour-hmac，因此您需要确保在 krb5.ini 文件中正确设置它。

您可以像这样正确创建密钥表：

C:\>ktpass -princ HTTP/[email protected] -mapuser [email protected] -crypto RC4-HMAC-NT -ptype K
RB5_NT_PRINCIPAL -pass * -out ourweb.keytab
Targeting domain controller: test-dc.ourcompany.co.uk
Using legacy password setting method
Successfully mapped HTTP/[email protected] to ourweb.testdomain.ourcompany.co.uk.
Key created.
Output keytab to ourweb.keytab:
Keytab version: 0x502
keysize 75 HTTP/[email protected] ptype 1 (KRB5_NT_PRINCIPAL)
vno 3 etype 0x17 (RC4-HMAC) keylength 16 (0x0fd0e500225c4fca9a63a9998b17ca32)

我没有看到您已经设置了 krb5.ini 文件。您需要在服务器计算机上正确设置该设置（默认位置 C:\WINDOWS\krb5.ini）：

[domain_realm]  
    .testdomain.ourcompany.co.uk = TESTDOMAIN.OURCOMPANY.CO.UK
    testdomain.ourcompany.co.uk = TESTDOMAIN.OURCOMPANY.CO.UK

[libdefaults]   
    default_realm = TESTDOMAIN.OURCOMPANY.CO.UK
    permitted_enctypes = aes128-cts aes256-cts arcfour-hmac-md5 
    default_tgs_enctypes = aes128-cts aes256-cts arcfour-hmac-md5 
    default_tkt_enctypes = aes128-cts aes256-cts arcfour-hmac-md5 

[realms]    
VERDAD.LOCAL = {        
    kdc = test-dc.ourcompany.co.uk  
    admin_server = test-dc.ourcompany.co.uk
    default_domain = TESTDOMAIN.OURCOMPANY.CO.UK
}

您可能还需要设置以下属性（如果您尝试从 IDE 运行它）：

<systemProperties>
  <java.security.krb5.kdc>test-dc.ourcompany.co.uk</java.security.krb5.kdc>
  <java.security.krb5.realm>TESTDOMAIN.OURCOMPANY.CO.UK</java.security.krb5.realm>
</systemProperties>

我正在使用maven 的 org.codehaus.mojo 插件在 pom 文件中设置这些内容，如下所示：

<build>
  <plugins>
    <plugin>
      <groupId>org.codehaus.mojo</groupId>
      <artifactId>tomcat-maven-plugin</artifactId>
      <configuration>
        <server>tomcat-development-server</server>
        <port>8080</port>
        <path>/SecurityTest</path>
        <systemProperties>
          <java.security.krb5.kdc>test-dc.ourcompany.co.uk</java.security.krb5.kdc
          <java.security.krb5.realm>TESTDOMAIN.OURCOMPANY.CO.UK</java.security.krb5.realm>
        </systemProperties>
      </configuration>
    </plugin>
  </plugins>
</build>

Answer 2

我也遇到了这个问题。
对于那些将来遇到这个问题的不幸的人来说，造成这个问题的另一个原因是通过ip而不是A记录（主机名）访问服务器

Answer 3

我也遇到了同样的问题，花了我很长时间才找到罪魁祸首。因此，如果您已完成上述所有操作，但它仍然使用 NTLM 令牌而不是 kerberos。确保您没有重复的 SPN。就我而言，我有 2 个帐户映射到相同的 SPN，原因是我之前在同一服务器上运行一个单独的 Web 应用程序，该服务器使用不同的服务帐户，但映射到相同的 SPN，即 HTTP/

希望它有帮助

Answer 4

因此，在我的例子中，我设置了两台机器：

• Win-Root - 192.168.1.100 - 我的测试域控制器
• Win-Child - 192.168.1.200 - 将运行由 Kerberos 保护的 Tomcat 服务的服务器

然后我在上安装了 Active Directory 域服务Win-Root，并提升为域控制器（启用 DNS）。域名为 Netbios=FUSIONIS、FQDN=fusionis.life。

然后我进入Win-Child并将DNS服务器设置为192.168.1.100，然后加入域FUSIONIS。

然后我进入 Win-Root DNS 设置并为 fusion.fusoinis.life 添加了一个正向查找区域。

然后我在 http://fusion.fusionis.life:8080 上为我的 tomcat 应用程序启用了 Kerberos 身份验证。

我登录了 Win-Child 来测试一下。

但我不断收到（机制级别：GSSHeader 未找到正确的标签）。

经过一个小时的绞尽脑汁后，我意识到...我不小心以本地帐户登录了！换句话说，whoami 返回了“WIN-23523h253\Administrator”。我完全忘记了实际以域帐户身份登录到 Win-Child 服务器。

然后我登录到 fusionis\testuser ，一切都按预期进行。

经验教训：确保您没有意外地以非域帐户登录！