kerberos [jdbc 드라이버]를 통해 Redhat7과 MSSQL 데이터베이스 간의 연결 설정

저는 mssql에 연결하기 위해 Redhat 7에서 만든 Java 애플리케이션이 우리 회사의 자동 장치가 생성한 키 탭에 저장된 주체를 구문 분석할 수 없는 매우 성가신 문제를 해결하고 있습니다. 주체는 svcAccount/fqdn@RELM 키 탭에 저장됩니다.

테스트를 위해 다음 명령을 사용하여 cCache를 생성했습니다.

kinit -f -c -p FILENAME svcAccount@REALM

이 연결 구성은 cCache에 저장된 주체의 구문이 Microsoft 애플리케이션에 대해 불안정하기 때문에 잘 작동하지만 사용 중인 키탭과 연결을 설정하려고 하면 다음 오류가 발생합니다.

**com.microsoft.sqlserver.jdbc.SQLServerException: Login failed for user 
'domain\ svcAccount/fqdn '**

KRB5.conf에 "auth_to_local"을 추가하려고 시도했지만 kerberos가 이 구성을 무시하는 것 같습니다.

Windows 서버에서 이 주체 이름을 매핑하는 방법을 아시나요? 내 Java 애플리케이션에서 이를 수정해야 합니까, 아니면 단지 잘못된 Kerberos 구성입니까? 더 어렵게 만들려면 kadmin 권한이 없고 키탭을 수정할 수 없습니다./

---

Kerberos 구성:

Klist –kte keytab.file:

KVNO Timestamp           Principal

   3 12/31/1969 19:00:00 svcAccount/fqdn@RELM (encryption method)

   3 12/31/1969 19:00:00 svcAccount/fqdn@RELM (encryption method)

   3 12/31/1969 19:00:00 svcAccount/fqdn@RELM (encryption method)

SQLJDBCDriver.conf

SQLJDBCDriver {

com.sun.security.auth.module.Krb5LoginModule required

useKeyTab=true

keyTab="FILE:/home/filename.keytab"

principal=" svcAccount/fqdn@RELM "

storeKye=true

debug=true

credsType=both

doNotPrompt=true;

};

Java는 매개변수로 시작합니다.

JAVA_OPTS="-Dspring.jmx.enabled=false -Dkerberos.client.reference.name=SQLJDBCDriver -Djava.security.auth.login.config=/etc/path/SQLJDBCDriver.conf -Djavax.security.auth.useSubjectCredsOnly=false -Dsun.security.krb5.debug=true -Djava.security.krb5.conf=/etc/krb5.conf -Dspring.profiles.active=uat"

연결 문자열:

url: jdbc:sqlserver://serverName:2431;databaseName=DB_NAME;integratedSecurity=true;authenticationScheme=JavaKerberos;serverSpn=MSSQLSvc/fqdn:2431@DOMAIN

KRB5.CONF

[libdefaults]

  default_realm = DOMAIN.COM

  default_ccache_name = KEYRING:persistent:%{uid}

  dns_lookup_realm = true

  dns_lookup_kdc = true

  noaddresses = true

  kdc_timesync = 0

  rdns = false

  kdc_timeout = X

  max_retries = X

  ticket_lifetime = XX

  renew_lifetime = XX



[realms]

    DOMAIN.COM = {

    }



[domain_realm]

   domain.com = DOMAIN.COM

[appdefaults]

       pam = {

               validate = true

               keytab = /etc/krb5.keytab

               banner = login

               minimum_uid = X

               addressless = X

               use_shmem = tX

               ignore_unknown_principals = X

       }

       kinit = {

               renewable = true

               forwardable= true

       }