apache - 使用 SPNEGO/Kerberos 和委派的 Tomcat 身份验证

Question

是否有 Apache 模块实现 Kerberos 身份验证供 Tomcat 使用，并且还支持 Kerberos 委托(delegate)？

我已经看过 mod_spnego，它丢弃了它创建的 SSPI 上下文，只保留主体名称。相反，我正在寻找一个模块，该模块允许委托(delegate)发送给 Tomcat 的票证 - 也就是说，获取发送的服务票证以进行身份​​验证并使用它在服务器端代表用户访问另一项服务。

编辑:澄清一下，我需要使用 GSS/SSPI 上下文在 Win32 下进行模拟，这样当遗留代码连接到另一台服务器时，就会使用委托(delegate)的凭据。

Answer 1

WAFFLE (Windows 身份验证功能框架)现在从 v1.4beta 开始提供该功能。

它提供了一个 ServletFilter，它使用 native Windows API 来对用户进行身份验证，使用基本或协商身份验证。然后可以模拟用户，并使用模拟用户的访问 token 执行 native API 调用。