您在环境中配置 Cert-to-Kerberos 时，可能会遇到一些问题。您可以使用各种过程来诊断和修复这些问题。
创建 Kerberos 上下文时出错：时钟偏差太大 (Clock skew too great)
以下错误消息：
ERROR:"wsportal.WsPortalEdgeService[createKerberosLoginContext: 119][39071f3d-9363-4e22-a8d9-5e288ac800fe]: Error creating kerberos context. Identity bridging may not work javax.security.auth.login.LoginException: Clock skew too great"
在 Unified Access Gateway 时间与 AD 服务器时间显著不同步时显示。重置 AD 服务器上的时间，使其与 Unified Access Gateway 上的 UTC 时间完全匹配。
创建 Kerberos 上下文时出错：名称或服务未知 (Name or service not known)
以下错误消息：
wsportal.WsPortalEdgeService[createKerberosLoginContext: 133][]: Error creating kerberos context. Identity bridging may not work javax.security.auth.login.LoginException: Name or service not known
在 Unified Access Gateway 使用 Keytab 文件中的用户详细信息无法访问配置的领域或无法连接到 KDC 时显示。确认以下内容：
已使用正确的 SPN 用户帐户密码生成 Keytab 文件，并已将其上载到 Unified Access Gateway
后端应用程序 IP 地址和主机名已正确添加到主机条目中。
错误消息：无法从以下会话检索客户端证书: <sessionId> (unable to retrieve client certificate from session: <sessionId>)
如果显示此消息：
请检查 X.509 证书设置并确定是否已进行配置
如果配置了 X.509 证书设置：请检查安装在客户端浏览器上的客户端证书，以确定该证书的颁发者是否为 X.509 证书设置中“根和中间 CA 证书”字段上载的同一 CA。
错误消息：内部错误。请联系您的管理员 (Internal error. Please contact your administrator)
在 /opt/vmware/gateway/logs/authbroker.log 中查找以下消息
"OSCP validation of CN=clientCert, OU=EUC, O=<org name>, ST=<state name>, C=IN failed with "Could not send OCSP request to responder: Connection refused (Connection refused) , will not attempt CRL validation"
此消息表示“X.509 证书”中配置的 OCSP URL 不可访问或不正确。
OCSP 证书无效时发生的错误
"revocation.RevocationCheck: OSCP validation of CN=clientCert failed with "Could not verify signing certificate for OCSP responder:http://asdkad01/ocsp". will attempt CRL validation."
当上载了无效的 OCSP 证书，或者 OCSP 证书被吊销时，会显示上述错误。
OCSP 响应验证失败时发生的错误
"WARN ocsp.BouncyCastleOCSPHandler: Failed to verify OCSP response: CN=asdkAD01.Asdk.ADrevocation.RevocationCheck: 08/23 14:25:49,975" [tomcat-http--26] WARN revocation.RevocationCheck: OSCP validation of CN=clientCert failed with "Could not verify signing certificate for OCSP responder: http://asdkad01/ocsp". will attempt CRL validation."
OCSP 响应验证失败时，有时会显示上述错误。
