> Пароль вообще не должен храниться. Нигде. Даже на сервере. Или в оперативной памяти. Хранится может лишь результат криптографической функции от него.

Сурово. Правильно. Но... Главное ведь результат и имея доступ к keytab, любознательный с успехом может попросить Керберос авторизацию и получить ее, что есть то же самое что и иметь в наличии пароль.

> А keytab это будет или какой-то токен - уже не столь важно.

Для того, чтобы контролировать пермишины, ОСЬ сервера сервирующая что либо, должна хранить где-то флажок, "можно/не можно" и как он взведется - пофиг, напрямую паролем или обмазыванием в керберос - не важно. Тоже самое и с сервисами нуждающимися в авторизации. Керберос (или что то другое) просто защищает содержимое оригинального пароля от запущеного сервиса, не более, но сервис то получил в итоге то, что ему нужно - разрешение. С токенами/керберосом удобно управлять кластерами, базара нет, централизованно, - можно/нельзя, но если взять на рассмотрение одинокий сервак, а не всю ферму, то все сводится к секьюрности ОСи т.к. что пароль, что авторизация от стороннего сервиса - ничего не меняет, пофиг что стащить, hash из keytab-a или hashicorp vault доступ или банальный пароль, главное то результат - "можно", поэтому:

> А keytab это будет или какой-то токен ИЛИ ПАРОЛЬ - уже не столь важно.