Active Directory в качестве KDC для NFS сервера

какой kerberos на NFS сервере? MIT или Heimdal?

ключ созданый на винде совместим с mit, но не совместим с heimdal.

klist -c /etc/krb5.keytab -l

Ну по Вашей команде кидает ошибки о неправильном синтаксисе, а вот если так: klist -k /etc/krb5.keytab

, то будет так:

Keytab name: FILE:/etc/krb5.keytab KVNO Principal ---- -------------------------------------------------------------------------- 8 nfs/ip-10-243-1-2.domain.com@DOMAIN.COM

Имя домена закрыл domain.com. То есть вроде бы нормально видит.

MIT и Heimdal - это же разные реализации Kerberos-сервера, как я понимаю. Сервер Kerberos у меня виндовый (он поднимается автоматом вместе с AD). Ну а клиенты MIT'овские, krb5.

А это один и тот же адрес(имя)?
nfs/hostname.domain.com@DOMAIN.COM ( из сообщения rpc.svcgssd)
и
nfs/ip-10-243-1-2.domain.com@DOMAIN.COM ( из сообщения klist )

Верно. Просто ключи получаемые от программы ktpass на windows у меня не подходили к heimdal клиенту.

Да, адреса полностью идентичны.

покажи тогда /etc/krb5.conf и кстати обычный kinit user@domain.com проходит нормально?

Да, kinit username (или username@domain.com) проходит нормально и тикет выдается без проблем. Так же тикет выдается при логине на машну под доменным пользователем.
Вот /etc/krb5.conf:


[libdefaults]
default_realm = DOMAIN.COM
clockskew = 300
dns_lookup_realm = true
dns_lookup_kdc = true
default_tkt_enctypes = des-cbc-crc ; or des-cbc-md5
default_tgs_enctypes = des-cbc-crc ; or des-cbc-md5


[realms]
DOMAIN.COM = {
kdc = f.q.d.n
default_domain = DOMAIN.COM
admin_server = f.q.d.n
}
[domain realm]
.domain.com = DOMAIN.COM
domain.com = DOMAIN.COM

[logging]
kdc = FILE:/var/log/krb5/krb5kdc.log
admin_server = FILE:/var/log/krb5/kadmind.log
default = SYSLOG:NOTICE:DAEMON

[appdefaults]
pam = {
ticket_lifetime = 1d
renew_lifetime = 1d
forwardable = true
proxiable = false
external = sshd
use_shmem = sshd
minimum_uid = 0
retain_after_close = false
try_first_pass = true

Кстати, kadmin'ом не получается залогиниться под админом (хотя, я так понимаю, что если kdc - виндовый АД, это и невозможно).

Хм, а если hostname -fqdn выдает hostname.domain2.com2? То есть этот виртуальный сервак находится в облаке Amazon EC2. Получается, надо делать keytab так: ktpass -princ nfs/ip-10-243-1-2.domain2.com2@DOMAIN.COM -mapuser DOMAIN\nfs10 -pass XXXXXX -ptype KRB5_NT_PRINCIPAL -out krb5.keytab

может где в настройках есть возможность жестко закрепить нужное имя?

Хрен его знает, написал на форумах Novell, может там кто чего подскажет, тк у меня идеи кончились.

просьба озвучить результат

В результате оказалось, что не совсем правильно генерировал keytab на виндовом сервере. После вдумчивого прочтения описания на сайте МС сгенерировал правильный keytab и svcgssd поднялась.