kerberos - 可选的 kerberos 身份验证？

Question

是否可以进行可选的 kerberos 身份验证？

我想要的是:如果客户端(浏览器)不在域中，它被重定向到用户名/密码网络登录。否则它会做 SPNEGO 做 Kerberos 认证。

有什么解决办法吗？如果是，我们需要什么配置？

Answer 1

是的。你可以这样做。当服务器收到未经身份验证的请求时，它会回复 401(“需要授权”)，这是一个 header WWW-Authenticate设置为 Negotiate .如果 Kerberos 身份验证失败，服务器也会发回 401。

每当客户端无法进行身份验证时(例如，如果它没有任何 Kerberos 凭据，或者身份验证失败)，401 页面内容将显示。

因此，要解决您的问题，您所要做的就是在 401 页面上包含登录页面。