topic Erreur avec authentification Kerberos: Encryption type AES25 in Alfresco Archive

Erreur avec authentification Kerberos: Encryption type AES25

slebreton — Sat, 27 Oct 2012 11:30:18 GMT

Bonjour,je suis encours de test de la version alfresco 4.2a sous REDHAT RHEL6.3. Je souhaite mettre en place une authentification Kerberos qui s'appuie sur ipa sous REDHAT RHEL6.3 .Mon architecture de test se compose: - 1 serveur REDHAT RHEL 6.3 que j'appel "ipa1" qui est mon serveur ipa primaire -

Re: Erreur avec authentification Kerberos: Encryption type AES25

slebreton — Mon, 29 Oct 2012 07:55:16 GMT

En complément à la description de mon problème:

dans /var/log/alfresco/alfreco.log je constate l'authentification Kerberos du serveur


…
13:57:13,379 INFO  [org.alfresco.repo.management.subsystems.ChildApplicationContextFactory] Starting 'Authentication' subsystem, ID: [Authentication, managed, krb1]
13:57:13,552 DEBUG [org.alfresco.web.app.servlet.KerberosAuthenticationFilter] HTTP Kerberos login successful
13:57:13,552 DEBUG [org.alfresco.web.app.servlet.KerberosAuthenticationFilter] Logged on using principal HTTP/alfresco.ac.fr@AC.FR
13:57:14,476 DEBUG [org.alfresco.repo.webdav.auth.KerberosAuthenticationFilter] HTTP Kerberos login successful
13:57:14,476 DEBUG [org.alfresco.repo.webdav.auth.KerberosAuthenticationFilter] Logged on using principal HTTP/alfresco.ac.fr@AC.FR
13:57:14,503 INFO  [org.alfresco.repo.management.subsystems.ChildApplicationContextFactory] Startup of 'Authentication' subsystem, ID: [Authentication, managed, krb1] complete
13:57:14,503 INFO  [org.alfresco.repo.management.subsystems.ChildApplicationContextFactory] Starting 'Authentication' subsystem, ID: [Authentication, managed, ldap1]
13:57:14,582 INFO  [org.alfresco.repo.management.subsystems.ChildApplicationContextFactory] Startup of 'Authentication' subsystem, ID: [Authentication, managed, ldap1] complete
…
‍‍‍‍‍‍‍‍‍‍‍‍

a ce niveau tout semble OK.

je trouve la trace suivante lors de connexion du client dans /var/log/alfresco/alfreco.log


…
13:57:38,227 DEBUG [org.alfresco.web.app.servlet.KerberosAuthenticationFilter] Authentication not required (filter), chaining …
…
‍‍‍‍‍

dans /var/log/alfresco/share.log je trace l'erreur suivante:


…
13:59:05,591 WARN  [org.alfresco.web.site.servlet.KerberosSessionSetupPrivilegedAction] Caught GSS Error
GSSException: Failure unspecified at GSS-API level (Mechanism level: Encryption type AES256 CTS mode with HMAC SHA1-96 is not supported/enabled)
…
‍‍‍‍‍‍

Mon problème semble se situer au niveau du client,pour le moment je cherche autour du réglage du fichier krb5.conf du client ( pour le moment sans succès) …

je reste à l'écoute de vos suggestions.

Merci.

Stéphane

Re: Erreur avec authentification Kerberos: Encryption type AES25

rguinot — Tue, 30 Oct 2012 08:26:40 GMT

GSSException: Failure unspecified at GSS-API level (Mechanism level: Encryption type AES256 CTS mode with HMAC SHA1-96 is not supported/enabled)‍

A mon avis, vous n'avez pas installé la Java Cryptography Extension (aussi appelée JCE). téléchargeable ici : http://www.oracle.com/technetwork/java/javase/downloads/index.html.

Il y a sans doute désaccord entre le niveau d'encryption à utiliser dans la config de votre KDC sur RHEL, et dans la config de la JVM. Le JCE devrait vous permettre de résoudre cela.

Laissez savoir.

Re: Erreur avec authentification Kerberos: Encryption type AES25

slebreton — Fri, 02 Nov 2012 11:38:26 GMT

Bonjour,

merci pour votre retour.

après avoir téléchargé la Java Cryptography Extension et l'avoir installée, j'ai réussi à franchir une étape.

1) Avec un client sous OSX 10.6.8 +vTicket KERBEROS + FIrefox : l'authentification KERBEROS fonctionne correctement aussi bien avec share qu'avec alfresco.

2) Avec un client sous OSX 10.6.8 + Ticket KERBEROS + Safari : l'authentification KERBEROS fonctionne correctement avec "explorer" alfresco, mais j'ai un message avec share:

WARN  [org.alfresco.web.site.servlet.KerberosSessionSetupPrivilegedAction] credentials can not be delegated!‍

3) Avec un client sous Windows XP + Ticket KERBEROS + Firefox: l'authentification KERBEROS fonctionne correctement avec "explorer" alfresco, mais j'ai un message avec share:

WARN  [org.alfresco.web.site.servlet.KerberosSessionSetupPrivilegedAction] credentials can not be delegated!‍

si vous avez une piste à me suggérer, je suis preneur.

Merci.

Stéphane

Re: Erreur avec authentification Kerberos: Encryption type AES25

rguinot — Fri, 02 Nov 2012 12:02:02 GMT

voir http://wiki.alfresco.com/wiki/Alfresco_Authentication_Subsystems#Client_Configuration ainsi que https://issues.alfresco.com/jira/browse/ALF-6286 (et le premier commentaire sur ce jira), si cela peut vous aider.

Re: Erreur avec authentification Kerberos: Encryption type AES25

slebreton — Fri, 02 Nov 2012 20:53:36 GMT

Merci pour le coup de main,

j'avais effectivement parcouru ces deux liens, j'en ai pas déduit de solutions pour mes problèmes.

je poursuis mes investigations.

Merci

Stéphane

Re: Erreur avec authentification Kerberos: Encryption type AES25

slebreton — Sun, 04 Nov 2012 11:24:06 GMT

Bonjour,

pour poursuivre:

j'ai résolu mon souci pour Firefox sous Windows XP en complétant dans Firefox avec le réglage suivant:

network.auth.use-sspi false

Stéphane