在linux服務器上使用Kerberos實現windows AD域Web應用單點登錄
本文介紹如何在Linux服務器上，借助Go和Node.JS（均支持Kerberos庫）實現對Windows AD域內Web應用的Kerberos單點登錄。 假設您已掌握從Windows AD域導出keytab文件的方法，我們將重點關注SPN配置和Linux服務器端的Kerberos庫使用。
首先，解答幾個常見問題：
-
setspn命令的執行位置？ setspn命令必須在Windows AD域控制器上運行，因為SPN（服務主體名稱）存儲于AD域中，只有域控制器才能修改。
-
SPN中的host.domain.local含義？ host.domain.local 代表您的Web應用服務器的域名或主機名。 http/host.domain.local 指定了該主機上HTTP服務的SPN。 domainuser 指的是擁有該服務的帳戶。
-
Go服務器端是否需要Kerberos CLI？ 不需要。Go的Kerberos庫（例如jcmturner/gokrb5）提供Kerberos交互API，可在Go代碼中直接進行Kerberos認證，無需Kerberos CLI。
-
Go Web服務器的部署位置？ Go Web服務器無需部署在加入域的Windows服務器上。它可在任何操作系統上運行，只要安裝了合適的Kerberos庫（如jcmturner/gokrb5），并正確配置Kerberos環境，即可實現Kerberos認證。 關鍵在于服務器能夠訪問Kerberos Key Distribution Center (KDC) 并擁有正確的keytab文件。
正確配置SPN和在服務器端正確運用Kerberos庫是實現Linux服務器上Kerberos單點登錄的關鍵。 希望以上解答能幫助您更清晰地理解整個過程。
