Generelle Verständnisfrage zu Kerberos SSO im Apache

Hallo zusammen,

ich versuche aktuell verzweifelt eine Webseite im Apache per Kerberos SSO zu konfigurieren.
Auf einem Test System klappt das auch soweit wie gewollt.

Die interne AD Domain lautet internal.local
Die funktionierende Seite auf dem Test System wird per sub.internal.local aufgerufen.
Auf dem prod System soll die Seite per sub.domain.com aufgerufen werden.
Der Aufruf an sich funktioniert auch, da für sub.domain.com im DNS eine Reverse Zone angelegt ist.
Ich bekomme hier aber immer nur einen LogIn Dialog für Username und Passwort, sobald SSO im Apache vhost aktiv ist.

Meine generell Frage wäre nun, muss ich bei der Konfiguration für Kerberos (*.keytab File, krb5.conf, apache vhost) überall wo ich vorher sub.internal.local stand einfach nur sub.domain.com setzten?

mir erschließt sich der Zusammenhang zwischen den Parameter bei der keytab File Erstellung und dem realm in der krb5.conf z.B. nicht ganz....