Почему ошибка обновления DNS с использованием .keytab файла?

Question

[ITF]

Есть 2 сервера: 1. mydc (Samba) и 2. mycomp (Samba-tool).
Есть пользователь в домене: testuser
На mycomp пытаюсь выполнить удаленное обновление DNS записи:

samba-tool dns add 192.168.1.1 domain.local test A 192.168.1.2 -U testuser

Запрашивает пароль и запись добавляется.

создал keytab файл на пользователя, закинул на mycomp, проверил:

sudo kinit -k -t ~/testuser.keytab [e-mail]
sudo klist

все работает.

Но если пытаюсь обновить запись используя полученный тикет, выдает ошибку:

samba-tool dns add 192.168.1.1 domain.local test A 192.168.1.2  --use-kerberos=required

ERROR: Connecting to DNS RPC server mydc.domain.local failed with (3221225485, 'An invalid parameter was passed to a service or function.')

В чем может быть проблема?

Comments

[ITF]

mycomp в домене, версии ПО совпадают, dns прямая запись и обратная разрешаются до 192.168.1.1 (mydc).

Answer 1

[Пума Тайланд]

Kerberos по IP не работает — ему нужен hostname для SPN. Попробуй mydc.domain.local вместо 192.168.1.1:

samba-tool dns add mydc.domain.local domain.local test A 192.168.1.2 --use-kerberos=required

Если тикет не в дефолтном ccache — добавь --use-krb5-ccache=/путь/к/ccache

Comments

[ITF]

samba-tool dns add mydc.domain.local domain.local test A 192.168.1.2 --use-kerberos=required так же не работает, тикет по дефолту, но даже с прямым указанием не принимает.

[Пума Тайланд]

глянь вывод klist и id — если kinit делался через sudo, тикет в root-кеше и samba-tool без sudo его не видит. Или укажи явно: KRB5CCNAME=<путь из klist> samba-tool dns add ...

Answer 2

[ITF]

Вопрос закрыт.
В моём случае проблема была в SPN для сервера mydc.
Kerberos ругался на не соответствие.
Выяснил после того как попытался по тикету обращаться локально на самом сервере и получил ту же ошибку.
Проверил SPN и обнаружил что они выданы на другое имя хоста, т.к. оригинальное имя сервера myserver, а mydc - это дополнительное имя в виде DNS записи. Хоть оно и разрешалось, при проверке тикета происходила ошибка из-за несовпадения имени.
В итоге добавил SPN запись для имени mydc и всё заработало.