История изменений
Исправление DALDON, (текущая версия) :
Ты говоришь вполне толковые вещи. Я в этом деле жуткий нуб... Это первая моя инсталляция nginx, за исключением этого момента вполне удачная.
В чьих?
В логах tomcat который бежит на хост А. :(
Аутентификацией заведует альфреска
Да конечно. Она и заведует. Всё верно.
https://, то он и тикет получает для https://, не?
Минуточку сэр... А вот тут поподробнее пожалуйста! Я думаю вполне логично. Браузер ведь запрашивать будет.
Кажется ты очень толково меня наталкиваешь на мысль...
Значит схема выглядит так: браузер (https) -> (https) nginx (http:8080) -> (http:8080) alfresco
То есть, похоже, что браузер действительно (пытается получить билет на https?) Судя по логам tomcat билет выпускается/пытается выпустится (крайне не много там информации)... И дальше идёт очень не информативное checksumm error.
2014-07-16 17:27:55,283 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-3] New Kerberos auth request from 192.168.9.2 (192.168.9.2:50882)
2014-07-16 17:27:55,284 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-3] Issuing login challenge to browser.
2014-07-16 17:27:55,313 ERROR [org.alfresco.fileserver] [http-bio-8080-exec-4] Error from JLAN
GSSException: Failure unspecified at GSS-API level (Mechanism level: Checksum failed)
at sun.security.jgss.krb5.Krb5Context.acceptSecContext(Krb5Context.java:788)
at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:342)
.....
.....
.....
2014-07-16 17:27:55,315 DEBUG [ap2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] No SPNEGO response, Kerberos logon failed
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Failed SPNEGO authentication.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Clearing session.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Issuing login challenge to browser.
2014-07-16 17:27:55,421 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-5] Login page requested, chaining ...
p.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] No SPNEGO response, Kerberos logon failed
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Failed SPNEGO authentication.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Clearing session.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Issuing login challenge to browser.
2014-07-16 17:27:55,421 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-5] Login page requested, chaining ...Я с вебом на «Ваше высочество», а с kerberos так вообще на: «миленький, ну заработай пожалуйста»...
Смотри, я создаю SPN на внутреннее имя хоста (host A), а прихожу на внешнее имя хоста (host B). - Может тут что-то мне надо изменить..? Беда в том, что я крайне слабо понимаю в том, что есть: SPN, что есть kvno, шифрование и всё прочее. Я буду ОЧЕНЬ тебе признателен, если ты посмотришь инструкцию вот тут: http://docs.alfresco.com/4.2/tasks/auth-kerberos-ADconfig.html и что-то подскажешь.
Исходная версия DALDON, :
Ты говоришь вполне толковые вещи. Я в этом деле жуткий нуб... Первая моя инсталляция nginx, за исключением этого момента вполне удачная.
В чьих?
В логах tomcat который бежит на хост А. :(
Аутентификацией заведует альфреска
Да конечно. Она и заведует. Всё верно.
https://, то он и тикет получает для https://, не?
Минуточку сэр... А вот тут поподробнее пожалуйста! Я думаю вполне логично. Браузер ведь запрашивать будет.
Кажется ты очень толково меня наталкиваешь на мысль...
Значит схема выглядит так: браузер (https) -> (https) nginx (http:8080) -> (http:8080) alfresco
То есть, похоже, что браузер действительно (пытается получить билет на https?) Судя по логам tomcat билет выпускается/пытается выпустится (крайне не много там информации)... И дальше идёт очень не информативное checksumm error.
2014-07-16 17:27:55,283 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-3] New Kerberos auth request from 192.168.9.2 (192.168.9.2:50882)
2014-07-16 17:27:55,284 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-3] Issuing login challenge to browser.
2014-07-16 17:27:55,313 ERROR [org.alfresco.fileserver] [http-bio-8080-exec-4] Error from JLAN
GSSException: Failure unspecified at GSS-API level (Mechanism level: Checksum failed)
at sun.security.jgss.krb5.Krb5Context.acceptSecContext(Krb5Context.java:788)
at sun.security.jgss.GSSContextImpl.acceptSecContext(GSSContextImpl.java:342)
.....
.....
.....
2014-07-16 17:27:55,315 DEBUG [ap2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] No SPNEGO response, Kerberos logon failed
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Failed SPNEGO authentication.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Clearing session.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Issuing login challenge to browser.
2014-07-16 17:27:55,421 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-5] Login page requested, chaining ...
p.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] No SPNEGO response, Kerberos logon failed
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Failed SPNEGO authentication.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Clearing session.
2014-07-16 17:27:55,315 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-4] Issuing login challenge to browser.
2014-07-16 17:27:55,421 DEBUG [app.servlet.KerberosAuthenticationFilter] [http-bio-8080-exec-5] Login page requested, chaining ...Я с вебом на «Ваше высочество», а с kerberos так вообще на: «миленький, ну заработай пожалуйста»...
Смотри, я создаю SPN на внутреннее имя хоста (host A), а прихожу на внешнее имя хоста (host B). - Может тут что-то мне надо изменить..? Беда в том, что я крайне слабо понимаю в том, что есть: SPN, что есть kvno, шифрование и всё прочее. Я буду ОЧЕНЬ тебе признателен, если ты посмотришь инструкцию вот тут: http://docs.alfresco.com/4.2/tasks/auth-kerberos-ADconfig.html и что-то подскажешь.