制作Windows集成认证所需的keytab文件

(1).在 Active Directory 服务器中，为运行认证墙的主机创建一个用户帐户（选择“新建”>“用户”，而不是“新    建”>“计算机”）。   在创建该用户帐户时，应使用计算机的简单名称。例如，在 Active Directory 中创建一个名为 authwall的用户。   请记录下创建用户帐户时定义的密码。在步骤 3 中将需要使用此密码。请勿选择“用户必须在下次登录时更改密码”选项，或任何其他密码选项。

(2).配置新用户帐户以使其符合 Kerberos 协议。此用户帐户的加密类型必须是 DES 并且必须要求进行 Kerberos 预身份验证。 在左窗格的“用户”树中，用鼠标右键单击该用户帐户的名称，然后选择“属性”。 选择“帐户”选项卡，并选中“为此帐户使用 DES 加密类型”框。确保未选中其他框，尤其不要选中“不要求进行 Kerberos 预身份验证”。 设置加密类型可能会损坏密码。因此，应重置用户密码，方法是用鼠标右键单击该用户帐户的名称，选择“重设密码”，然后重新输入之前指定的同一密码。

(3).使用 setspn 实用工具为步骤 1 中创建的用户帐户创建服务委托人名称 (SPN)。请输入下列命令： setspn -a host/authwall.test.com authwall setspn -a HTTP/authwall.test.com authwall

(4).使用以下命令检查与您的用户帐户关联的 SPN： setspn –L account name 这是一个重要步骤。如果将同一服务链接到 Active Directory 服务器中的另一帐户，则客户端将不会向服务器发送 Kerberos 票据。

(5).使用 ktpass 实用工具创建用户映射： ktpass -princ host/[email protected] -mapuser authwall -pass password -out c:\temp\authwall.keytab

(6).创建 keytab 文件。在 Windows 上，ktab 实用工具管理密钥表中的委托人名称和密钥对，并允许您列出、添加、更新或删除委托人名称和密钥对。在 UNIX 上，最好使用 ktpass 实用工具。 在运行域控制器的主机上运行 ktab 实用工具来创建 keytab 文件： ktab -k authwall.keytab -a HTTP/[email protected]

(7).可以通过ktab -l -k authwall.keytab, 来看看里面究竟有针对什么Service的Key。