由 KERBEROS 保护的 Java 应用程序

Question

我想通过 KERBEROS 保护我的 Java Web 应用程序。有谁知道执行此操作需要什么以及如果我当前的用户存储在 MySQL 数据库中，我需要对我的应用程序进行多少更改？有必要使用VPN吗？如果我理解正确，每个客户端都通过同一域中的 KDS 进行身份验证，但我的应用程序位于远程服务器上(不在同一域中？)。

Answer 1

您必须向我们提供有关您的应用和环境的更多详细信息。 kerberos 的作用是为用户提供一种方法来证明他确实是他所声称的那个人。 (可选)您可以验证他是否来自他声称来自的 IP 地址，尽管由于 NAT/代理/负载均衡器，后来很少有用户。

您的应用程序在什么容器中运行？大多数现代 servlet 容器(JBoss/Websphere)都提供开箱即用的 kerberos 身份验证。您只需要调整您的 web.xml，或者如果是 websphere，只需正确配置应用程序即可。

您是否有适当的 kerberos 基础设施？如果您处于具有 Active Directory 域 Controller 的企业 Windows 环境中，那么您已经这样做了。在这种情况下，您需要将工作站配置在域中。最简单的情况是，如果您的工作站是域的成员，并且 Activity 目录 Controller 也是您的 DNS 服务器，并且您的应用程序在本地域中运行，并且您的浏览器是 IE 或 Chrome。否则你需要做一些额外的配置。

VPN 不是必需的，但如果你有的话，事情会稍微简化一些。

至于您的域问题，尤其是 Windows 管理员对于域的实际含义存在很多困惑。域可以是像 stackoverflow.com 这样的 DNS 域，而域可以是完全不同的 Active Directory 域。在经典 Unix kerberos 中，kerberos 域称为 REALM，并且有一个配置文件将 DNS 域映射到 Kerberos 领域。

您的应用可以位于您想要的任何 DNS 域中，也可以位于任何 Active Directory 域中，但在这种情况下，不同域之间必须建立信任关系。

最重要的是，您至少必须配置两件事。 DNS 服务器必须有 SRV 记录，以便浏览器可以找到 KDC 服务器。并且您必须在 KDC 中注册您的应用程序。

更多详情谷歌查看here :