security - 使用 windows 域名识别 Web 应用用户

Question

我有一个 GWT webapp 在 RedHat 上的 tomcat 7 上运行。所有客户端都驻留在 Intranet 中，并使用 XP 机器上的 IE7 来访问 webapp。

新要求是按用户日志设置。如果用户声称他因为 webapp 而做错了什么，管理员应该能够检查该请求的 webapp 响应。另一个要求（一个非常好的功能）是避免登录/密码屏幕并使用域用户名。

我想我可以让我的管理员为 Tomcat http://www.tomcatexpert.com/blog/2011/06/22/windows-authentication-apache-tomcat设置集成 Windows 身份验证。一旦在 Tomcat 上实现了 IWA，我希望我能够从我的 web 应用程序中使用 HTTPServletRequest.getRemoteUser() 访问用户名。

1. 我的假设是对的吗？
2. 还有比这更简单的方法吗？

Answer 1

通过 IWA、SPNEGO、Kerberos 等将 Java 容器（如 Tomcat）与 Windows 域集成可能是一项非常复杂的任务，您指向的 Tomcat 指令可能会或可能不会在第一次工作，并且可能还需要更改Windows 环境的配置方式。

一旦该集成正常工作，您的 Web 应用程序将需要在 web.xml 中指定身份验证约束以保护部分或整个 Web 应用程序。尽管如果 Windows 身份验证设置无缝工作，它可能不会提示输入用户 ID，但在 getRemoteUser 将在应用程序中返回任何内容之前，配置是必要的。