single-sign-on - 我们是否需要所有 AD 用户的 keytab 条目以进行基于 kerberos 的身份验证？

Question

我在 jboss 上部署了一个 Web 应用程序。到目前为止，我们已经实现了https://www.jcifs.org/提供的 NTLMHttpFilter 。由于这个 java 过滤器仅支持 NTLMV1，现在我需要将我的身份验证更新为基于 kerberos 的身份验证以支持使用 spnego 的 kerberos，但我仍然不确定，我是否必须为所有现有应用程序用户生成一个 keytab 文件。如果是，每次用户更新其 Windows 密码时如何更新 keytab 密码？另外请让我知道服务帐户和用户帐户的密钥表位置？我的目的是使用集成的 Windows 身份验证提供无提示的 sso 功能。

Answer 1

您只需要应用程序的服务帐户的密钥表文件，而不是每个用户。用户向 KDC 请求应用程序的服务票证。