java - Java 中的 Kerberos 身份验证 - Java 中的 "login"操作是否等于 "kinit"？

Question

我在 Java 中使用 GSSAPI 以便使用 Kerberos 身份验证登录到 LDAP 服务器。我是 Kerberos 的新手，如果这是一个明显的问题，我很抱歉，但我在互联网上找不到足够清楚的内容。

我执行以下步骤:

1. 通过将系统属性 “java.security.auth.login.config” 设置为配置文件路径来定义登录配置。
2. 使用配置名称和自定义回调处理程序调用 LoginContext.login()
3. 如果登录成功，“假装成”主题(通过使用 Subject.doAs())，并通过创建新的 InitialLDAPContext 连接到 LDAP 服务器使用适当的环境变量。

现在，我的问题是我不明白哪个步骤与哪个 kerberos 操作相关？说在登录操作后我只有一个 TGT 是否正确？我什么时候可以获得服务特定票证？

谢谢，迪克拉

Answer 1

The class com.sun.security.auth.module.Krb5LoginModule is Sun's implementation of a login module for the Kerberos version 5 protocol. Upon successful authentication the Ticket Granting Ticket (TGT) is stored in the Subject's private credentials set and the Kerberos principal is stored in the Subject's principal set.

(摘自here)

这意味着 LoginContext.login 确实等于 kinit，因为在它们之后，我们都有一个 TGT。

稍后将获取并使用服务票据 - 根据 Subject.doAs() 中执行的操作。