java - 如何从 kerberos 票证中检索组成员资格？

Question

我正在尝试从在 windows2008r2 上生成的 Kerberos 票证中提取组成员信息。

在一个URL中，我发现了如下语句:Kerberos 还在研究在 Kerberos 授权数据中包含组成员信息的机制。虽然将组名包含到 ACL 中是有利的，但 GSS-API 目前没有支持此的机制。

Microsoft 似乎已将 Kerberos 扩展为包含基于此 URL 的组成员资格: http://msdn.microsoft.com/en-us/library/ms817918.aspx :Kerberos 身份验证组成员身份扩展扩展了 Kerberos 身份验证网络服务(版本 5)规范，以支持 Microsoft Windows 操作系统的交互式登录身份验证和组成员身份信息。扩展包括特权访问证书 (PAC) 结构，位于 Kerberos v5 票证的授权数据字段中。

该 URL 引用了我无法确定如何使用此 API 访问的票证中的一个字段(授权数据): http://docs.oracle.com/javase/6/docs/api/org/ietf/jgss/GSSContext.html

有谁知道如何访问该字段？或者可能是有关如何从 Windows2008r2 上生成的 Kerberos 票证中提取组信息的指南。

我正在用 Java 编写，但也愿意用 C 编写。尽管使用 Windows 作为 kerberos 服务器，但从票证中提取组信息的逻辑仍在 UNIX 上运行。

谢谢你能给我的任何帮助!

Answer 1

Java 不支持读取 PAC 字段。 JaasLounge项目声称有一个工作的 PAC 解码器。如果你想使用 C，Heimdal 有 PAC support .我不知道这在多大程度上有效。祝你好运!

另一种方法是:如果您有空闲时间，可以获取 Microsoft 的文档并自己从 Kerberos 票证中读取字节并从中创建一个开源项目:-D