使用Kerberos SSO的Apache错误请求“请求标头字段的大小超出服务器限制”

我正在通过在Apache（SLES 11.1上的Apache2）上运行的网站为Active Directory用户设置SSO，并且在使用Firefox进行测试时，一切正常。但是，当我尝试在Internet Explorer 8（Windows 7）中打开网站时，我得到的只是

“错误的请求

您的浏览器发送了该服务器无法理解的请求。

请求标头字段的大小超过服务器限制。

授权：协商[超长字符串]“

我的vhost.cfg看起来像这样：

<VirtualHost hostname:443>
  LimitRequestFieldSize 32760
  LimitRequestLine 32760
  LogLevel debug

  <Directory "/data/pwtool/sec-data/adbauth">
    AuthName "Please login with your AD-credentials (Windows Account)"
    AuthType Kerberos
    KrbMethodNegotiate on
    KrbAuthRealms REALM.TLD
    KrbServiceName HTTP/hostname
    Krb5Keytab /data/pwtool/conf/http_hostname.krb5.keytab
    KrbMethodK5Passwd on
    KrbLocalUserMapping on
    Order allow,deny
    Allow from all
  </Directory>

  <Directory "/data/pwtool/sec-data/adbauth">
    Require valid-user
  </Directory>

    SSLEngine on
    SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
    SSLCertificateFile /etc/apache2/ssl.crt/hostname-server.crt
    SSLCertificateKeyFile /etc/apache2/ssl.key/hostname-server.key
</VirtualHost>

我还确保删除了Cookie，并尝试了一些较小的LimitRequestFieldSize和LimitRequestLine值。

对我来说似乎很奇怪的另一件事是，即使使用LogLevel调试，我也不会收到与此有关的任何日志。日志的最后一行是

ssl_engine_kernel.c(1879): OpenSSL: Write: SSL negotiation finished successfully

有人对此有想法吗？

我的直觉说您有一个非常大的安全令牌，可能是因为用户是大量组的成员。默认情况下，AD Kerberos实现将向Apache提供特权属性证书（PAC）。如果用户是大量组的成员，则此结构可能很大。您可以使用该tokensz.exe工具查看用户的令牌大小。

如果这是问题所在，则可以修改用户帐户的UserAccountControl属性，以防止发送PAC。

您可能可以修改/etc/krb5.conf文件以将KDC引用为kdc = tcp/kdc.name.here。如果PAC导致令牌对于UDP数据报而言太大，则会出现此问题，但是也可能通过TCP强制与KDC进行通信。

如果它可以解决您的问题，那么对1,000名用户更改此值对于您的AD管理员而言并不困难。

我在Mac上的Safari中的Drupal 7网站上发生了此错误，发现关闭浏览器窗口并清除浏览器的缓存，退出浏览器，将其打开并备份并重新加载页面，可以中止仅发生的错误这一次。

错误的请求您的浏览器发送了此服务器无法理解的请求。>请求标头字段的大小超出服务器限制。Cookie / n

我找到了另一个解决方案，尽管不确定它是否真的有效。Apache Docs指出，对于大型软件包，我必须设置LimitRequestFieldSize和/或LimitRequestLine。

事实是，如果要将LimitRequestLine的值设置为大于8KB的值，则必须修改源代码并重新编译Apache，因为8KB是固定的maxSize（http://httpd.apache.org/docs/ 2.2 / mod / core.html＃limitrequestline）。

我不确定这种方法是否有效，因为稍后我从第二台服务器上的存储库中重新安装了apache。似乎这是一个不同的软件包版本，因为在那里没有发生问题。

如果有人使用mod_proxy_ajp遇到此问题，请看一下：从哪个版本的Apache开始，LimitRequestFieldSize不再硬编码为8k max？