firefox可实现kerberos免密自动登录，需安装mit kerberos客户端并勾选添加path、将krb5.ini复制至c:\windows\、执行kinit获取票据、配置about:config中trusted-uris为.data.platform且use-sspi设为false。
要在企业内网访问Hadoop生态组件（如Yarn ResourceManager、HDFS NameNode、Hue）时免输密码自动登录，必须让Firefox识别并使用已获取的Kerberos票据，否则每次点击链接都会弹出空白认证框或反复要求输入域账号密码。
安装并验证MIT Kerberos客户端
从MIT官网下载KFW 4.1（64位）安装包，运行安装向导时【必须勾选“Add MIT Kerberos to system PATH”】，否则后续kinit命令将无法在CMD中执行。
安装完成后打开CMD，直接输入klist——若提示“找不到命令”，说明PATH未生效，需手动将C:\Program Files\MIT\Kerberos\bin添加至系统环境变量最前端；若返回“Ticket cache is empty”，说明客户端已就绪。
配置krb5.ini文件位置与内容
MIT Kerberos默认把krb5.ini写入C:\ProgramData\MIT\Kerberos5\（该目录隐藏），但Firefox在Windows下只认C:\Windows\krb5.ini。直接将配置文件复制覆盖到C:\Windows\根目录下，不删旧文件，避免路径歧义。
编辑C:\Windows\krb5.ini，确保包含以下最小可用配置：
[libdefaults]
default_realm = DATA.PLATFORM
dns_lookup_realm = false
udp_preference_limit = 1
[realms]
DATA.PLATFORM = {
kdc = kdc-server.data.platform
admin_server = kdc-server.data.platform
}
[domain_realm]
.data.platform = DATA.PLATFORM
data.platform = DATA.PLATFORM
【realm名称、KDC地址必须与集群实际部署完全一致，大小写敏感】；udp_preference_limit = 1强制走TCP协议，规避UDP分片丢包导致票据获取失败。
下载 Comet AI 浏览器，体验由 Perplexity AI 驱动的革命性上网方式。内置 AI 助手可实时总结网页、跨标签页对比信息、自动执行任务。告别繁琐操作，让 AI 成为你的浏览副驾，大幅提升研究与工作效率。支持 Windows、macOS、Android 和 iOS。
生成并缓存Kerberos票据
第一步：在CMD中执行kinit username@DATA.PLATFORM，输入域账号密码后无报错即成功。
第二步：立即验证票据状态，执行klist。输出中必须包含Default principal: username@DATA.PLATFORM且Valid starting时间在当前时刻之后。
第三步：若显示“Decrypt integrity check failed”，说明客户端与KDC加密套件不兼容，需在AD中为该用户启用AES256支持。
配置Firefox浏览器参数
方法一：基础认证设置
在Firefox地址栏输入about:config→搜索network.negotiate-auth.trusted-uris→双击修改为.data.platform（支持通配符，多个域名用英文逗号分隔）。
方法二：禁用SSPI，启用原生GSS库
搜索network.auth.use-sspi→设为false；
搜索network.negotiate-auth.using-native-gsslib→设为true。
方法三：放宽非FQDN访问限制（仅当访问http://namenode01:8088这类短域名时需要）
搜索network.negotiate-auth.allow-non-fqdn→设为true。
