次に、ログイン実行時に発生する可能性のある問題、およびその解決方法に関する提案を示します。
構成可能なKerberos設定: Kerberos Key Distribution Center (KDC)の名前とレルム設定は、Kerberos構成ファイルによって指定されるか、システム・プロパティjava.security.krb5.kdc
およびjava.security.krb5.realm
を介して指定されます。ブール・オプションrefreshKrb5Config
は、JAAS構成ファイル内のKrb5LoginModule
のエントリで指定できます。このオプションがtrue
に設定されている場合は、Krb5LoginModule
のloginメソッドが呼び出される前に、構成値がリフレッシュされます。
注意:
Kerberos構成を変更する場合、refreshKrb5Config
をtrue
に設定する必要があります。この値を設定しないと、予期しない結果が発生することがあります。
java.lang.SecurityException at javax.security.auth.login.Configuration.getConfiguration
原因: JAASログイン構成ファイルの処理で問題が発生しました。原因は、ファイル内の構文エラーと考えられます。
解決法: 構成ファイルに誤りがないか、注意深く確認します。ログイン構成ファイルに必要な構文の詳細は、付録B: JAASログイン構成ファイルを参照してください。
javax.security.auth.login.LoginException: KrbException: Pre-authentication information was invalid (24) - Preauthentication failed
原因1: 入力されたパスワードが無効です。
解決法1: パスワードを確認します。
原因2: 鍵の取得にキー・タブを使用している場合(JAASログイン構成ファイルのKrb5LoginModuleエントリで、useKeyTab
オプションをtrue
に設定するなど)、キー・タブの更新後に鍵が変更された可能性があります。
解決法2: Kerberosドキュメントを参照して新規keytabを生成し、そのキー・タブを使用します。
原因3: クロック・スキュー - KDC上の時間とクライアント上の時間が大きく異なる場合(通常は5分)、エラーが返されることがあります。
解決法3: クロックを同期させます(またはシステム管理者に実行を依頼)。原因4: Kerberosレルム名の一部が大文字になっていません。
解決法4: Kerberosレルム名をすべて大文字にします。注: すべて大文字のレルム名を使用するよう推奨されています。レルム名およびホスト名の命名規則を参照してください。
GSSException: No valid credentials provided (Mechanism level: Attempt to obtain new INITIATE credentials failed! (null)) . . . Caused by: javax.security.auth.login.LoginException: Clock skew too great
原因: KerberosはKDCのクロックとクライアントのクロックがほぼ同期していることを要求します。デフォルトは5分以内です。同期していない場合、エラーが発生します。
解決法: クロックを同期させます(またはシステム管理者に同期を依頼)。
javax.security.auth.login.LoginException: KrbException: Null realm name (601) - default realm not specified
原因: Kerberos構成ファイルkrb5.conf
内で、ユーザー名の一部を構成するデフォルト・レルムが指定されていません(Kerberos構成ファイルを使用する場合)。または、デフォルト・レルムが、java.security.krb5.realm
システム・プロパティで指定されていません。
解決法: Kerberos構成ファイル内(使用する場合)にデフォルト・レルムを指定するエントリが含まれているかどうかを確認します。または、java.security.krb5.realm
システム・プロパティ値にデフォルト・レルムを直接指定し、Kerberosによる認証時にこれをユーザー名に含めます。
javax.security.auth.login.LoginException: java.net.SocketTimeoutException: Receive timed out
解決法: Kerberos KDCが起動済みで、稼動中であることを確認します。
GSSException: No valid credentials provided (Mechanism level: Failed to find any Kerberos Ticket)
原因: 有効なKerberos資格の取得が行われていない場合、このエラーが発生します。特に、基盤となるメカニズムで資格の取得を行う予定であったのに、javax.security.auth.useSubjectCredsOnly
システム・プロパティ値をfalse
に設定すること(たとえば、実行コマンドに-Djavax.security.auth.useSubjectCredsOnly=false
を含めて)を忘れてしまった場合、このエラーが発生します。
解決法: JAASを使って認証を実行するアプリケーションやラッパー・プログラム(このシリーズのチュートリアルで使用したLoginユーティリティなど)ではなく、基盤となるメカニズムで資格の取得を行う場合、javax.security.auth.useSubjectCredsOnly
システム・プロパティ値を確実にfalse
に設定します。
javax.security.auth.login.LoginException: Could not load configuration file <krb5.conf> (No such file or directory)
原因: チュートリアルのサンプル実行コマンドは、java.security.krb5.realm
およびjava.security.krb5.kdc
システム・プロパティの値を設定することにより、デフォルトのKerberosレルムおよびKDCを指定します。必要に応じて、かわりに、Kerberos構成ファイルkrb5.conf
を使用できます。そのファイルには、デフォルトのレルムおよびKDCに関する情報が含まれます。krb5.conf
ファイルを使用するには、システム・プロパティjava.security.krb5.conf
を使用して(realm
およびkdc
プロパティのかわりに)ファイルの位置を指定するか、これらのプロパティのがいずれも設定しない場合、デフォルト位置でkrb5.conf
ファイルの検出が試みられます。ファイルが見つからない場合、「Could not load configuration file <krb5.conf> (No such file or directory)」というエラーが表示されます。
解決法: Kerberos構成ファイルkrb5.conf
が、利用可能かつ読取り可能であることを確認します。krb5.conf
ファイルの位置指定方法、および位置を明示的に指定しない場合のデフォルト検索位置については、「Kerberos要件」を参照してください。
javax.security.auth.login.LoginException: KrbException: KDC has no support for encryption type (14) - KDC has no support for encryption type
原因1: 使用するKDCが、要求された暗号化タイプをサポートしません。
解決法1: OracleのKerberos実装では、暗号化タイプとして、aes256-cts-hmac-sha1-96
、aes128-cts-hmac-sha1-96
、des3-cbc-sha1
、arcfour-hmac-md5
、des-cbc-crc
およびdes-cbc-md5
をサポートしています。
アプリケーションでは、Kerberos構成ファイルkrb5.conf
で次のタグを指定することにより、適当な暗号化タイプを選択できます。
[libdefaults] default_tkt_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1 default_tgs_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1 permitted_enctypes = des-cbc-md5 des-cbc-crc des3-cbc-sha1
指定しない場合のデフォルト値は次のとおりです。
aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 des3-cbc-sha1 arcfour-hmac-md5
krb5.conf
のallow_weak_crypto
がtrueに設定されている場合、des-cbc-crc
およびdes-cbc-md5
もサポートされます。
原因2: この例外は、いくつかのWindowsプラットフォームでネイティブ・チケット・キャッシュを使用するとスローされます。Microsoftは新機能を追加しており、その機能ではTicket Granting Tickets (TGT)のセッション鍵がエクスポートされなくなっています。そのため、Windowsで取得したネイティブTGTは、「空の」セッション鍵とnullのETypeを持つことになります。
解決法2: Windowsのレジストリをアップデートして、この新機能を無効にする必要があります。レジストリ・キーallowtgtsessionkey
を追加し、正しく設定して、KerberosのTicket Granting Ticketでセッション鍵が送信されるようにしてください。
詳細は、MicrosoftサポートのRegistry Key to Allow Session Keys to Be Sent in Kerberos Ticket-Granting-Ticketを参照してください。通常は、次のレジストリ設定が必要となります。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\Kerberos\Parameters Value Name: allowtgtsessionkey Value Type: REG_DWORD Value: 0x01 ( default is 0 )
デフォルトでは値が0に設定されています。「0x01」に設定することにより、セッション鍵をTGTに含めることができます。
KDC reply did not match expectations
原因: KDCにより、クライアントが認識不可能な応答が返されました。
解決法: krb5.conf
ファイルの構成パラメータすべてが適正に設定されていることを確認し、KDCベンダー提供のガイドを参照してください。
注意:
システム・プロパティsun.security.krb5.debug
を「true」に設定することで、デバッグ・モードを有効にできます。この設定により、プログラムがKerberos V5プロトコルを実行する様子を確認できます。