Kerberos SPN FQDN对于服务器来说意义重大，还是keytab足够了？

我花了大部分时间作为开发人员，所以我不熟悉所有的细节…

我有一个Linux主机上运行的服务。 我想使用Kerberos将身份信息传输到服务。 我的一些客户是在连接到AD的Windows客户端，所以他们已经有了一张票。 我知道如何使用kinit在我的* nix客户端上获得一张票，并且证实我可以这样做。 我有一个/etc/krb5.conf文件，似乎在我的* nix客户端上工作

我知道我需要做以下…

1. 请ADpipe理员为特定的SPN生成密钥表。
2. 将我的服务器上的keytab放在服务可以find它的地方。
3. 客户端使用票证和SPN从Kerberos基础结构中获取令牌。
4. configuration服务以接收令牌并使用密钥表对其进行解码。

这是我的问题…

• 小牛 – APN活动目录用户不被推送
• 如何将指纹模板添加到活动目录？
• 没有DSRM的Active Directory备份/恢复
• 哈德森与活动目录错误
• Samba：只通过ADvalidation本地帐户？

SPN通常采用service_name / FQDN @ domain_name的forms。 但是，我的客户不使用服务的主机名来构buildSPN。 而是将SPN设置在configuration文件中。 如果我可以创build单个SPN并在我的服务器的每个实例上使用它，对我来说是最简单的。

所以我会做以下…

1. 创build一个forms为service_name / some_dummy_name @ domain_name的SPN。
2. 生成密钥表并将其复制到svr1.mycompany.mydomain，svr2.mycompany.mydomain，…，svrX.mycompany.mydomain。
3. 使用单个SPNconfiguration我的客户端。

我似乎认为这将起作用，因为在服务器群集时，可以在具有不同主机名的多台服务器上使用相同的SPN / keytab。

为了解决这个问题，SPN的FQDN部分对于服务器来说意义重大，还是仅仅为了让典型的客户端能够生成正确的SPN呢？ 如果几个服务器具有相同的密钥表，他们是否可以接收和validation相同的令牌，或者是其他要求？

只是要强调，该服务是一个在Linux上的Java应用程序，客户端是Windows和* nix上的Java应用程序。 AD将提供Kerberos服务器基础结构。