聊聊 kerberos 的 kinit 命令和 ccache 机制

1. 前言

大家好，最近遇到了个 kerberos 相关问题，“客户端节点上执行 kinit -R 命令报错：KDC can’t fulfill requested option while renewing credentials”， 在次跟大家分享下问题的解决方式，和背后的相关知识点，主要涉及到 kerberos 的 kinit 命令和 ccache 机制。

2. 问题现象与问题日志

• 问题现象： 客户端执行命令 kinit -R 报错: “KDC can’t fulfill requested option while renewing credentials”
• 问题日志：查看 KDC 服务端日志/var/log/krb5kdc.log 可知，上述报错对应的请求是 TGS_REQ，细节是 liming@TEST.COM for krbtgt/TEST.COM@TEST.COM，其错误原因是 ticket not renewable, 即 ticket 不可刷新；

3. 问题原因

那么 “ticket not renewable” 的原因又有哪些呢？主要有以下几个：

• 服务端配置文件 /var/kerberos/krb5kdc/kdc.conf 或 /etc/krb5.conf 中对应的 realms 段中没有配置允许 renew ticket；
• 服务端生成 krbtgt 这个 principal 时，没有配置参数 maxrenewlife，即没有指定其 ticket 的最大可刷新时长；
• 服务端生成用户的 principal 时，没有配置参数 maxrenewlife，即没有指定其 ticket 的 最大可刷新时长（如报错日志中的 liming@TEST.COM）；
• 客户端上次成功登陆后，获得的 krbtgt 这个 service principal 的可刷新时间已过期，其过期原因是超过了服务端配置的 maxrenewlife（如报错日志中的 krbtgt/TEST.COM@TEST.COM）；
• 客户端上次成功登陆后，用户 principal 的 ticket 已过期,其过期原因是超过了服务端配置的 ticket_lifetime,该参数一般配置为 24 h（如报错日志中的 liming@TEST.COM）；
  

4. 问题解决方案与操作步骤

通过上述分析，我们知道，为解决问题，需要更改服务端的配置参数max_renewable_life，需要更改服务端上述两个 principal 的 maxrenewlif