从 Java 验证 SPNEGO 票证是一个有点复杂的过程。这是一个简短的概述，但请记住，该过程可能有很多陷阱。您确实需要了解 Active Directory、Kerberos、SPNEGO 和 JAAS 如何成功诊断问题。
在开始之前，请确保您知道您的 Windows 域的 kerberos 领域名称。出于这个答案的目的，我假设它是MYDOMAIN。echo %userdnsdomain%您可以通过从 cmd 窗口运行来获取领域名称。请注意，kerberos区分大小写，并且领域几乎总是全部大写。
第 1 步 - 获取 Kerberos 密钥表
为了让 kerberos 客户端访问服务，它请求代表该服务的服务主体名称 [SPN] 的票证。SPN 通常源自机器名称和正在访问的服务类型（例如HTTP/www.my-domain.com）。为了验证特定 SPN 的 kerberos 票证，您必须有一个密钥表文件，其中包含 Kerberos 域控制器 [KDC] 票证授予票证 [TGT] 服务和服务提供者（您）都知道的共享机密。
就 Active Directory 而言，KDC 是域控制器，共享密钥只是拥有 SPN 的帐户的纯文本密码。SPN 可能由 AD 中的计算机或用户对象拥有。
如果要定义服务，在 AD 中设置 SPN 的最简单方法是设置基于用户的 SPN，如下所示：
- 在 AD 中创建一个无特权的服务帐户，其密码不会过期，例如 SVC_HTTP_MYSERVER 和密码
ReallyLongRandomPass
setspn使用 windows实用程序将服务 SPN 绑定到帐户。最佳实践是为主机的短名称和 FQDN 定义多个 SPN：
setspn -U -S HTTP/myserver@MYDOMAIN SVC_HTTP_MYSERVER
setspn -U -S HTTP/myserver.my-domain.com@MYDOMAIN SVC_HTTP_MYSERVER
ktab使用 Java 的实用程序为帐户生成密钥表。
ktab -k FILE:http_myserver.ktab -a HTTP/myserver@MYDOMAIN ReallyLongRandomPass
ktab -k FILE:http_myserver.ktab -a HTTP/myserver.my-domain.com@MYDOMAIN ReallyLongRandomPass
如果您尝试对绑定到计算机帐户或您无法控制的用户帐户的预先存在的 SPN 进行身份验证，则上述方法将不起作用。您将需要从 ActiveDirectory 本身中提取密钥表。Wireshark Kerberos Page对此有一些很好的指导。
第 2 步 - 设置您的 krb5.conf
在%JAVA_HOME%/jre/lib/security创建一个描述您的域的 krb5.conf 中。确保您在此处定义的领域与您为 SPN 设置的领域相匹配。如果不把文件放在JVM目录下，可以通过-Djava.security.krb5.conf=C:\path\to\krb5.conf命令行设置来指向它。
例子：
[libdefaults]
default_realm = MYDOMAIN
[realms]
MYDOMAIN = {
kdc = dc1.my-domain.com
default_domain = my-domain.com
}
[domain_realm]
.my-domain.com = MYDOMAIN
my-domain.com = MYDOMAIN
第 3 步 - 设置 JAAS login.conf
您的 JAASlogin.conf应该定义一个登录配置，将Krb5LoginModule设置为接受器。这是一个示例，假设我们在上面创建的 keytab 位于C:\http_myserver.ktab. -Djava.security.auth.login.config=C:\path\to\login.conf通过在命令行上设置指向 JASS 配置文件。
http_myserver_mydomain {
com.sun.security.auth.module.Krb5LoginModule required
principal="HTTP/myserver.my-domain.com@MYDOMAIN"
doNotPrompt="true"
useKeyTab="true"
keyTab="C:/http_myserver.ktab"
storeKey="true"
isInitiator="false";
};
或者，您可以在运行时生成 JAAS 配置，如下所示：
public static Configuration getJaasKrb5TicketCfg(
final String principal, final String realm, final File keytab) {
return new Configuration() {
@Override
public AppConfigurationEntry[] getAppConfigurationEntry(String name) {
Map<String, String> options = new HashMap<String, String>();
options.put("principal", principal);
options.put("keyTab", keytab.getAbsolutePath());
options.put("doNotPrompt", "true");
options.put("useKeyTab", "true");
options.put("storeKey", "true");
options.put("isInitiator", "false");
return new AppConfigurationEntry[] {
new AppConfigurationEntry(
"com.sun.security.auth.module.Krb5LoginModule",
LoginModuleControlFlag.REQUIRED, options)
};
}
};
}
您将为此配置创建一个LoginContext ，如下所示：
LoginContext ctx = new LoginContext("doesn't matter", subject, null,
getJaasKrbValidationCfg("HTTP/myserver.my-domain.com@MYDOMAIN", "MYDOMAIN",
new File("C:/path/to/my.ktab")));
第 4 步 - 接受票证
这有点不切实际，但总体思路是定义一个使用票证执行 SPNEGO 协议的 PriviledgedAction。请注意，此示例不检查 SPNEGO 协议是否完整。例如，如果客户端请求服务器身份验证，则需要acceptSecContext()在 HTTP 响应的身份验证标头中返回生成的令牌。
public class Krb5TicketValidateAction implements PrivilegedExceptionAction<String> {
public Krb5TicketValidateAction(byte[] ticket, String spn) {
this.ticket = ticket;
this.spn = spn;
}
@Override
public String run() throws Exception {
final Oid spnegoOid = new Oid("1.3.6.1.5.5.2");
GSSManager gssmgr = GSSManager.getInstance();
// tell the GSSManager the Kerberos name of the service
GSSName serviceName = gssmgr.createName(this.spn, GSSName.NT_USER_NAME);
// get the service's credentials. note that this run() method was called by Subject.doAs(),
// so the service's credentials (Service Principal Name and password) are already
// available in the Subject
GSSCredential serviceCredentials = gssmgr.createCredential(serviceName,
GSSCredential.INDEFINITE_LIFETIME, spnegoOid, GSSCredential.ACCEPT_ONLY);
// create a security context for decrypting the service ticket
GSSContext gssContext = gssmgr.createContext(serviceCredentials);
// decrypt the service ticket
System.out.println("Entering accpetSecContext...");
gssContext.acceptSecContext(this.ticket, 0, this.ticket.length);
// get the client name from the decrypted service ticket
// note that Active Directory created the service ticket, so we can trust it
String clientName = gssContext.getSrcName().toString();
// clean up the context
gssContext.dispose();
// return the authenticated client name
return clientName;
}
private final byte[] ticket;
private final String spn;
}
然后要验证票证，您将执行以下操作。假设它ticket包含来自身份验证标头的已经经过 base-64 解码的票证。如果spn格式Host为HTTP/<HOST>@<REALM>. 例如，如果Host标题是，myserver.my-domain.com那么spn应该是HTTP/myserver.my-domain.com@MYDOMAIN.
public boolean isTicketValid(String spn, byte[] ticket) {
LoginContext ctx = null;
try {
// this is the name from login.conf. This could also be a parameter
String ctxName = "http_myserver_mydomain";
// define the principal who will validate the ticket
Principal principal = new KerberosPrincipal(spn, KerberosPrincipal.KRB_NT_SRV_INST);
Set<Principal> principals = new HashSet<Principal>();
principals.add(principal);
// define the subject to execute our secure action as
Subject subject = new Subject(false, principals, new HashSet<Object>(),
new HashSet<Object>());
// login the subject
ctx = new LoginContext("http_myserver_mydomain", subject);
ctx.login();
// create a validator for the ticket and execute it
Krb5TicketValidateAction validateAction = new Krb5TicketValidateAction(ticket, spn);
String username = Subject.doAs(subject, validateAction);
System.out.println("Validated service ticket for user " + username
+ " to access service " + spn );
return true;
} catch(PriviledgedActionException e ) {
System.out.println("Invalid ticket for " + spn + ": " + e);
} catch(LoginException e) {
System.out.println("Error creating validation LoginContext for "
+ spn + ": " + e);
} finally {
try {
if(ctx!=null) { ctx.logout(); }
} catch(LoginException e) { /* noop */ }
}
return false;
}