AD CIFS (Kerberos)

[adrien]

Bonjour à tous,

Suite à une installation d'une 4.0.e sur une Ubuntu headless 12.04, j'ai configuré la synchronisation des utilisateurs / mot de passe avec l'AD. Le contrôleur de domaine est un Windows 2008.

Malheureusement, cela n'est visiblement pas compatible avec le CIFS. J'ai suivi la procédure suivante : http://docs.alfresco.com/4.0/index.jsp?topic=%2Fcom.alfresco.enterprise.doc%2Ftasks%2Fauth-kerberos-...

Lors du redémarrage, j'ai l'erreur suivante :

11:34:12,701 INFO  [org.alfresco.repo.management.subsystems.ChildApplicationContextFactory] Starting 'Authentication' subsystem, ID: [Authentication, managed, kerberos1]
11:34:12,875 ERROR [org.alfresco.smb.protocol.auth] CIFS Kerberos authenticator error
javax.security.auth.login.LoginException: Client not found in Kerberos database 
‍‍‍‍‍

Sachant que je n'arrive pas à faire le test du kinit décrit ici : http://wiki.alfresco.com/wiki/Alfresco_Authentication_Subsystems#Configuring_against_Active_Director...

kinit: Cannot contact any KDC for realm 'MONDOMAINE.LOCAL' while getting initial credential
‍‍‍

Mon fichier properties :

#authentication.chain=ldap-ad1:ldap-ad,alfrescoNtlm1:alfrescoNtlm
authentication.chain=kerberos1:kerberos,alfrescoNtlm1:alfrescoNtlm
ldap.authentication.active=true
ldap.authentication.userNameFormat=%s@domaine.local
ldap.authentication.java.naming.factory.initial=com.sun.jndi.ldap.LdapCtxFactory
ldap.authentication.java.naming.provider.url=ldap://IP:389
ldap.authentication.escapeCommasInBind=false
ldap.authentication.escapeCommasInUid=false
ldap.authentication.defaultAdministratorUserNames=administrateur

### AD SYNCHRO ###
ldap.synchronization.active=true
ldap.synchronization.java.naming.security.principal=XXX
ldap.synchronization.java.naming.security.credentials=XXX

ldap.synchronization.queryBatchSize=1000
ldap.synchronization.attributeBatchSize=1000

ldap.synchronization.groupQuery=(objectclass\=group)
ldap.synchronization.personQuery=(&(objectclass\=user)(userAccountControl\:1.2.840.113556.1.4.803\:\=512))

ldap.synchronization.groupDifferentialQuery=(&(objectclass\=group)(!(modifyTimestamp<\={0})))
ldap.synchronization.personDifferentialQuery=(&(objectclass\=user)(userAccountControl\:1.2.840.113556.1.4.803\:\=512)(!(modifyTimestamp<\={0})))

ldap.synchronization.groupSearchBase=XXX
ldap.synchronization.userSearchBase=XXX

ldap.synchronization.groupType=group
ldap.synchronization.personType=user
ldap.synchronization.groupMemberAttributeName=member
‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

Fichier /etc/krb5.conf (que j'ai du créer)

[libdefaults]
 default_realm = MONDOMAINE.LOCAL
 default_tkt_enctypes = rc4-hmac
 default_tgs_enctypes = rc4-hmac


[realms]
MONDOMAINE.LOCAL = {
  kdc = DC.MONDOMAINE.LOCAL
  kpasswd_server =  DC.MONDOMAINE.LOCAL
  admin_server =  DC.MONDOMAINE.LOCAL
 }


[domain_realm]
 DC.MONDOMAINE.LOCAL = MONDOMAINE.LOCAL
 .DC.MONDOMAINE.LOCAL = MONDOMAINE.LOCAL
‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

[adrien]

Il y a une autre erreur juste après :

14:30:41,052 ERROR [org.alfresco.fileserver] CIFS server configuration error, Error creating bean with name 'cifsAuthenticator' defined in file [/opt/alfresco-4.0.e/tomcat/webapps/alfresco/WEB-INF/classes/alfresco/subsystems/Authentication/kerberos/kerberos-authentication-context.xml]: Invocation of init method failed; nested exception is org.alfresco.jlan.server.config.InvalidConfigurationException: Failed to login CIFS server service
org.springframework.beans.factory.BeanCreationException: Error creating bean with name 'cifsAuthenticator' defined in file [/opt/alfresco-4.0.e/tomcat/webapps/alfresco/WEB-INF/classes/alfresco/subsystems/Authentication/kerberos/kerberos-authentication-context.xml]: Invocation of init method failed; nested exception is org.alfresco.jlan.server.config.InvalidConfigurationException: Failed to login CIFS server service
‍‍‍

[adrien]

Honte à moi, j'avais mal configuré le fichier java.login.config.

Pour information, j'avais mal orthographé le champ "principal".

Maintenant, je n'ai plus d'erreur mais c'est pas pour autant que ça marche ! Impossible de se connecter en CIFS…