gssproxy: apache httpd as nfs-client? centos7

Когда Apache httpd пытается получить доступ к пользовательскому каталогу, автоматически смонтированному с sec = krb5p и, предположительно, другими параметрами sec = krb , gssproxy выдает сообщение об ошибке, и веб-сервер отвечает 403 Запрещено . Параметр отладки на gssproxy недостаточно освещен.

Чтобы исключить отсутствие проблем RPCGSS , 403 не выдается, если действительный KRB5CC , принадлежащий uidNumber 48 (apache), присутствует в / tmp, и веб-сервер отобразит соответствующую страницу. Однако это связано с поведением rpc.gssd . gssproxy по-прежнему выдает то же сообщение об ошибке.

gssproxy: gp_rpc_execute: executing 6 (GSSX_ACQUIRE_CRED) for service "nfs-client", euid: 0, socket: (null)
gssproxy: gssproxy[639]: (OID: { 1 2 840 113554 1 2 2 }) Unspecified GSS failure.  Minor code may provide more information, No credentials cache found

# cat /etc/gssproxy/gssproxy.conf 
[gssproxy]

[service/HTTP]
  mechs = krb5
  cred_store = keytab:/etc/gssproxy/http.keytab
  cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
  euid = 48

[service/nfs-server]
  mechs = krb5
  socket = /run/gssproxy.sock
  cred_store = keytab:/etc/krb5.keytab
  trusted = yes
  kernel_nfsd = yes
  euid = 0

[service/nfs-client]
  mechs = krb5
  cred_store = keytab:/etc/krb5.keytab
  cred_store = ccache:FILE:/var/lib/gssproxy/clients/krb5cc_%U
  cred_store = client_keytab:/var/lib/gssproxy/clients/%U.keytab
  cred_usage = initiate
  allow_any_uid = yes
  trusted = yes
  euid = 0

# klist -ke /var/lib/gssproxy/clients/$(id -u apache).keytab
Keytab name: FILE:/var/lib/gssproxy/clients/48.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   2 apache/www.example.com@EXAMPLE.COM (aes256-cts-hmac-sha1-96) 
   2 apache/www.example.com@EXAMPLE.COM (aes128-cts-hmac-sha1-96) 
   2 apache/www.example.com@EXAMPLE.COM (camellia256-cts-cmac) 
   2 apache/www.example.com@EXAMPLE.COM (camellia128-cts-cmac)

# cat /etc/systemd/system/gssproxy.service.d/override.conf 
[Service]
ExecStart=
ExecStart=/usr/sbin/gssproxy -D --debug