windows ad域kerberos自动登陆web应用？

Question

现在我已经有了一个windows ad域。
如果要把服务器放到linux运行 go和nodejs都有kerberos的库。

现在已经知道了win ad域导出keytab文件的方法
问：

1. SPN的setspn命令是在win ad域控制器那台主机上配置还是在客户端机？
2. SPN中的setspn -A HTTP/host.domain.local domain\user host.domain.local 是web应用的域名么？
3. web服务器端， 比如go用了jcmturner/gokrb5， 是不是需要使用kerberos cli了？
4. 还是go的web服务器端必需部署在加入了该域的windows上？