klist 是唯一可靠、跨平台、开箱即用的 Kerberos 票据查看方式，Windows 和 Linux 均原生支持；使用前须确认用户已域登录或执行 kinit、系统时间同步（偏差≤300秒）、运行在正确上下文（会话/用户/keytab）。
klist 是唯一可靠、跨平台、开箱即用的查看方式。windows 和 linux 上它都直接可用，不需要额外安装 kerberos 客户端包（只要系统已加入域或配置了 /etc/krb5.conf）。
运行 klist 前必须确认的三件事
很多“命令不存在”或“无票据返回”问题其实和 klist 本身无关：
- 当前用户是否已完成域登录（Windows）或执行过 kinit（Linux）？未认证则缓存为空
- 时间是否同步？Kerberos 要求客户端与 KDC 时间偏差 ≤ clockskew（默认 300 秒），超时票据会被拒绝，klist 可能显示空或报错 “Clock skew too great”
- 是否在正确的上下文中运行？Linux 下不同用户、不同 shell 会话、不同 keytab 加载路径对应独立票据缓存；Windows 下不同登录会话（如远程桌面、服务账户）票据不共享
klist 输出字段怎么看才不误判有效期
典型输出中这三列最关键：
- Valid starting：票据实际生效时间（不是你运行 klist 的时刻）
- Expires：TGT 或服务票据硬性过期时间，超时后无法续订，必须重新 kinit
- renew until：仅对可续订票据有效，表示最多能通过 kinit -R 延长到的时间点，但每次续订仍受 ticket_lifetime 限制（比如设为 24h，就算 renew_until 是 7 天，你也得每天至少续一次）
注意：Linux 下 klist 默认只显示当前环境变量 KRB5CCNAME 指向的缓存；Windows 下默认显示 LSA 缓存，klist sessions 才能看出多会话隔离情况
查不到票据时优先试这几个变体
- Linux：检查是否用了非默认缓存，运行
echo $KRB5CCNAME；若为FILE:/tmp/krb5cc_1000，可显式指定klist -f /tmp/krb5cc_1000 - Linux：怀疑 keytab 认证但没加载，用
klist -k /path/to/keytab看 keytab 里存了哪些 principal，再用kinit -kt /path/to/keytab principal@REALM加载 - Windows：若普通用户下
klist为空，尝试以管理员身份运行，再执行klist sessions查看是否有其他登录会话持有票据（如系统服务、计划任务） - 通用过滤技巧：在 PowerShell 或 bash 中管道过滤，如
klist | findstr "HTTP\|hive\|hdfs"或klist | grep -i "krbtgt"，快速定位 TGT 或目标服务票据
真正容易被忽略的是票据“存在但不可用”：比如 Expires 还剩 2 小时，但 renew until 已过期，此时 kinit -R 会失败，只能重 kinit；或者票据加密类型（Etype）与服务端不匹配（如服务只接受 aes256-cts-hmac-sha1-96，而缓存里是 rc4-hmac），klist 看着正常，实际访问 HDFS/Hive 仍报 401。
