> Я уже забыл, что кербер у тебя работает, сорри
> Вот здесь глянь:
> https://sathisharthars.com/2013/05/07/configuring-ssh-with-kerberos-authentication/
Ну вот из шпаргалки по твоей ссылке:
"создать принципала host/arthar2.sathish.com"
И тд.
Это host-wide принципал, не для конкретного инстанса службы ssh или там
вообще отдельной службы типа www. То есть, сервис KDC/TGS выдаёт билет
клиенту не для конкретной службы или инстанса, а прям для целого хоста.
Может быть, это и норм: каждая служба просто далее проверяет что за
пользователь пришёл (не его подлинность, т.е., не его аутентификацию, а
авторизацию - назначение прав и тп). Немного непривычна такая схема,
когда аутентификация проводится для целого хоста.
Причём с очень умолчательными настройками клиент ssh при обращении к
GSSAPI уже как-то очень уверенно формирует host-wide принципала для
которого хочет получить билет у KDC/TGS, так что явно существует
какое-то очень устоявшееся соглашение о том, как формируется принципал
для которого делается попытка получить билет при обращении к сервису.
Много пока непонятно и непривычно.
