Срок действия наших билетов Kerberos истекает каждые 10 часов (мы подключены к Win2k8r2 AD), из-за чего пользователи не могут войти в систему. По крайней мере, так говорят пользователи.
Срок действия билета имеет смысл, но почему-то Share не может гладко получить новый, что, я считаю, должно быть в состоянии.
Наша установка:
- Alfresco 4.0.d (сообщество) работает на Ubuntu 12.04
- JDK7 (мы пробовали и с JDK6)
- Windows 2008R2 AD
- Единый вход Kerberos
- Клиент Windows 7, IE9
На стороне Alfresco все работает нормально. С Alfresco Explorer и CIFS все в порядке, но как только Share работает 10 часов (время жизни билета по умолчанию в AD), мы не можем войти в систему. Сначала нам будет предложено войти через браузер, затем через Windows и после этого форма входа в систему Share. Если я перезагружу страницу и пару раз введу свой пароль, он в конце концов впустит меня, и мы сможем работать еще 10 часов. Другое решение — перезапустить Share, и тогда это не повлияет на пользователей. Это указывает на проблему с Share, а не на клиенте, но я могу ошибаться.
Любые указатели будут очень кстати, я очень застрял в этом вопросе.
Мы получаем это исключение:
13:55:18,443 DEBUG [site.servlet.SSOAuthenticationFilter] Kerberos logon error
java.lang.IllegalStateException: This ticket is no longer valid
at javax.security.auth.kerberos.KerberosTicket.toString(KerberosTicket.java:638)
at java.lang.String.valueOf(String.java:2854)
at java.lang.StringBuilder.append(StringBuilder.java:128)
at sun.security.jgss.krb5.SubjectComber.findAux(SubjectComber.java:150)
at sun.security.jgss.krb5.SubjectComber.find(SubjectComber.java:59)
at sun.security.jgss.krb5.Krb5Util.getTicket(Krb5Util.java:155)
at sun.security.jgss.krb5.Krb5Context$1.run(Krb5Context.java:606)
at sun.security.jgss.krb5.Krb5Context$1.run(Krb5Context.java:599)
at java.security.AccessController.doPrivileged(Native Method)
at sun.security.jgss.krb5.Krb5Context.initSecContext(Krb5Context.java:598)
at sun.security.jgss.GSSContextImpl.initSecContext(GSSContextImpl.java:248)
at sun.security.jgss.GSSContextImpl.initSecContext(GSSContextImpl.java:179)
at org.alfresco.web.site.servlet.KerberosSessionSetupPrivilegedAction.run(KerberosSessionSetupPrivilegedAction.java:127)
at org.alfresco.web.site.servlet.KerberosSessionSetupPrivilegedAction.run(KerberosSessionSetupPrivilegedAction.java:44)
at java.security.AccessController.doPrivileged(Native Method)
at javax.security.auth.Subject.doAs(Subject.java:356)
at org.alfresco.web.site.servlet.SSOAuthenticationFilter.doKerberosLogon(SSOAuthenticationFilter.java:1009)
at org.alfresco.web.site.servlet.SSOAuthenticationFilter.doFilter(SSOAuthenticationFilter.java:441)
at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1326)
at org.eclipse.jetty.servlet.ServletHandler.doHandle(ServletHandler.java:479)
at org.eclipse.jetty.server.handler.ScopedHandler.handle(ScopedHandler.java:119)
at org.eclipse.jetty.security.SecurityHandler.handle(SecurityHandler.java:520)
at org.eclipse.jetty.server.session.SessionHandler.doHandle(SessionHandler.java:227)
at org.eclipse.jetty.server.handler.ContextHandler.doHandle(ContextHandler.java:940)
at org.eclipse.jetty.servlet.ServletHandler.doScope(ServletHandler.java:409)
at org.eclipse.jetty.server.session.SessionHandler.doScope(SessionHandler.java:186)
at org.eclipse.jetty.server.handler.ContextHandler.doScope(ContextHandler.java:874)
at org.eclipse.jetty.server.handler.ScopedHandler.handle(ScopedHandler.java:117)
at org.eclipse.jetty.server.handler.ContextHandlerCollection.handle(ContextHandlerCollection.java:250)
at org.eclipse.jetty.server.handler.HandlerCollection.handle(HandlerCollection.java:149)
at org.eclipse.jetty.server.handler.HandlerWrapper.handle(HandlerWrapper.java:110)
at org.eclipse.jetty.server.Server.handle(Server.java:349)
at org.eclipse.jetty.server.HttpConnection.handleRequest(HttpConnection.java:441)
at org.eclipse.jetty.server.HttpConnection$RequestHandler.headerComplete(HttpConnection.java:904)
at org.eclipse.jetty.http.HttpParser.parseNext(HttpParser.java:565)
at org.eclipse.jetty.http.HttpParser.parseAvailable(HttpParser.java:217)
at org.eclipse.jetty.server.AsyncHttpConnection.handle(AsyncHttpConnection.java:46)
at org.eclipse.jetty.io.nio.SelectChannelEndPoint.handle(SelectChannelEndPoint.java:545)
at org.eclipse.jetty.io.nio.SelectChannelEndPoint$1.run(SelectChannelEndPoint.java:43)
at org.eclipse.jetty.util.thread.QueuedThreadPool.runJob(QueuedThreadPool.java:598)
at org.eclipse.jetty.util.thread.QueuedThreadPool$3.run(QueuedThreadPool.java:533)
at java.lang.Thread.run(Thread.java:722)
Немного больше информации, java.login.config:
ShareHTTP {
com.sun.security.auth.module.Krb5LoginModule required
storeKey=true
useKeyTab=true
keyTab="/opt/share/kerberos/alfrescohttp.keytab"
principal="HTTP/[email protected]";
};
доля-config-custom.xml:
<config evaluator="string-compare" condition="Kerberos" replace="true">
<kerberos>
<password>password</password>
<realm>DOMAIN.LOCAL</realm>
<endpoint-spn>HTTP/[email protected]</endpoint-spn>
<config-entry>ShareHTTP</config-entry>
</kerberos>
</config>
Я следовал инструкциям здесь: http://wiki.alfresco.com/wiki/Alfresco_Authentication_Subsystems#Kerberos все настроено именно так, как написано в документации.
Пожалуйста, дайте мне знать, если я должен предоставить дополнительную информацию.
