nix'овый сервис с интеграцией в Kerberos

в основном первым способом, проблем замечено не было(кроме невозможности логина в домен когда контроллер выключен, но это фича а не баг ;)). Один раз пользовал второй способ, ИМХО первый лучше

приходится вводить, второй вариант явно кривее

Тогда, может, подсобите, а? У меня клиент, запущенный с введённого в домен хоста, делает некий TGS REQ на имя xmpp/hostname, KDC ему говорит, что ERR_S_NOT_FOUND (типа сервер не найден в базе илши сервис не найден). Но он есть, он есть!! Я это точно знаю, потому что сам его добавлял setspn'ом и мапил потом на учётку юзеру в Active Directory. Я даже могу для сделать kinit xmpp/hostname и получить тикет! :(
В чём трабла может быть?

тут самое главное не перепутать как хранится запись в LDAP. ЕМНИП(хотя дааавно это было) запись вида xmpp/hostname нормально воспринимается только MIT Kerberos и Heimdal, AD от такого дуреет и гонит фигню, хотя авторизация вроде бы проходит. Повторюсь - это было давно, поэтому возможно я щаз сказал дикую ересь

/как хранится запись в LDAP/как хранится запись в LDAP, откуда ее читает Kerberos/AD

obvious fix

>AD от такого дуреет и гонит фигню
AD как каталог аккаунтов дуреет, но для Kerberos-а Microsoft'ского это родной формат (как и для любого другого). Чтобы это дело юзать, нужно мапить Kerberos-принципала на account в AD. Есть у меня какое-то недоброе подозрение, что:

Раз) После ввода в домен воркстэйшна hostname получается аккаунт компа HOSTNAME$
Два) Далее либо нужно мапить HOST/hostname как раз таки на HOSTNAME$, либо этот мап уже есть в создаваемом Samba файле /etc/krb5.keytab ... Сдаётся мне, что второе, ибо там HOSTNAME$ и host/hostname есть