apache - 使用 SPNEGO/Kerberos 和委派的 Tomcat 身份验证

Question

是否有实现 Tomcat 使用的 Kerberos 身份验证并且还支持 Kerberos 委派的 apache 模块？

我已经看过 mod_spnego 了，它丢弃了它创建的 SSPI 上下文，只保留了主体名称。相反，我正在寻找一个模块，该模块将允许委托发送到 Tomcat 的票证 - 也就是说，获取发送的服务票证以进行身份​​验证并使用它在服务器端代表用户访问另一个服务。

编辑：为了澄清，我需要在 Win32 下使用 GSS/SSPI 上下文进行模拟，因此当遗留代码连接到另一台服务器时，将使用委托凭据。

Answer 1

WAFFLE（Windows 身份验证功能框架）现在从 v1.4beta 开始提供该功能。

它提供了一个 ServletFilter，它使用本机 Windows API 对用户进行身份验证，使用 Basic 或 Negotiate 身份验证。然后可以模拟用户，并且将使用模拟用户的访问令牌执行本机 API 调用。

Answer 2

使用 JAAS 领域和使用 kerberos 5 JAAS 模块怎么样？

http://tomcat.apache.org/tomcat-6.0-doc/realm-howto.html#JAASRealm

http://java.sun.com/j2se/1.4.2/docs/guide/security/jaas/spec/com/sun/security/auth/module/Krb5LoginModule.html

看起来它可能需要一些编码，但应该在那里。

Answer 3

这是一个http://spnego.sourceforge.net/credential_delegation.html教程。它将 Kerberos/SPNEGO 实现为 HTTP Servlet 过滤器并支持凭证委托。