支持，Oracle JDBC驱动自12.2.0.1起支持Kerberos认证，需配合krb5.conf、jaas.conf配置及JDBC URL启用KERBEROS5，并确保AD用户映射为Oracle企业用户且授权CREATE SESSION。
Oracle JDBC驱动是否支持Kerberos？
支持，但仅限于 Oracle JDBC Driver 12.2.0.1 及以上版本（推荐使用 ojdbc8.jar 或更新的 ojdbc11.jar），且必须配合 Oracle Wallet 或 Java 的 JAAS 配置。JDBC Thin 驱动本身不直接处理 Kerberos 认证，而是通过 Oracle 的 oracle.jdbc.OracleDriver 委托给底层 krb5 实现 —— 这意味着 JVM 必须能正确加载和使用系统或自定义的 Kerberos 配置。
如何配置Java端的krb5.conf与login.config？
这是最容易失败的环节：JVM 不会自动读取系统级 /etc/krb5.conf，必须显式指定路径或内嵌配置。
- 创建
krb5.conf文件（例如放在src/main/resources/krb5.conf）：[libdefaults] default_realm = EXAMPLE.COM dns_lookup_realm = false dns_lookup_kdc = true ticket_cache = FILE:/tmp/krb5cc_%{uid} [realms] EXAMPLE.COM = { kdc = kdc.example.com:88 admin_server = kadmin.example.com } - 创建
login.config（同目录下）：OracleKerberos { com.sun.security.auth.module.Krb5LoginModule required useTicketCache=true renewTGT=true debug=true; }; - 启动 JVM 时必须传入两个关键参数：
-Djava.security.krb5.conf=src/main/resources/krb5.conf-Djava.security.auth.login.config=src/main/resources/login.config- （可选但建议）
-Djavax.security.auth.useSubjectCredsOnly=false，否则可能跳过票据缓存复用
连接URL中如何启用Kerberos认证？
Oracle 要求在 JDBC URL 中显式启用 Kerberos，并指定服务主体（Service Principal），不能只靠驱动自动推断。
- 标准 Kerberos 连接 URL 格式为：
jdbc:oracle:thin:@//host:port/service_name?oracle.net.authentication_services=(KERBEROS5)
- 必须确保数据库监听器已配置
sqlnet.ora启用 Kerberos（服务端配置不在本文范围，但客户端若连不上，90% 是服务端未启用或主体名不匹配） - 如果使用别名（TNSNAMES），需在
tnsnames.ora对应条目中加入：SQLNET.AUTHENTICATION_SERVICES = (KERBEROS5)
- 连接时还需设置 JVM 系统属性（尤其在容器或非交互环境中）：
System.setProperty("oracle.jdbc.useKerberos", "true");
常见错误及绕过票据缓存失败的方法
Kerberos 免密失败大多卡在票据获取阶段，而非 SQL 执行阶段。
立即学习“Java免费学习笔记（深入）”；
-
GSSException: No valid credentials provided→ 检查klist是否有有效 TGT；若无，先手动kinit -k -t keytab principal@REALM -
javax.security.auth.login.LoginException: Unable to obtain password from user→useTicketCache=true但缓存路径不可写，或ticket_cache路径权限不对（Linux 下注意/tmp/krb5cc_$(id -u)是否可写） - Windows 上默认使用 LSASS 缓存，无需 keytab；Linux/macOS 必须确保
krb5.conf中ticket_cache指向可写路径，或改用 keytab 方式（需额外加storeKey=true keyTab=/path/to/keytab） - 若应用部署在 Kubernetes 中，记得把
krb5.conf、keytab 和 ticket cache 目录都挂载为 volume，并确保容器内 UID 与 ticket cache 文件属主一致
真正麻烦的不是配置项数量，而是每层（OS、JVM、JDBC、Oracle Server）对主体名大小写、realm 匹配、DNS 解析的容忍度不同 —— 很多时候连通性问题本质是主体名拼错了，比如用了 oracle/host.example.com@EXAMPLE.COM 却没在 KDC 注册该主体。
