Autenticazione Tomcat tramite SPNEGO / Kerberos e delega

Question

Esiste un modulo apache che implementa l'autenticazione Kerberos per l'uso da parte di Tomcat e supporta anche la delega Kerberos?

Ho già guardato mod_spnego e getta via il contesto SSPI che crea solo mantenendo il nome principale. Invece, sto cercando un modulo che consenta la delega del ticket inviato a Tomcat, ovvero prendendo il ticket di servizio inviato per l'autenticazione e utilizzandolo sul lato server per accedere a un altro servizio per conto dell'utente.

EDIT: per chiarire, ho bisogno di impersonare in Win32 utilizzando il contesto GSS / SSPI, quindi quando il codice legacy si collega a un altro server, vengono utilizzate le credenziali delegate.

Answer 1

WAFFLE (Framework funzionale di autenticazione di Windows) ora fornisce quella funzionalità a partire dalla v1.4beta.

Fornisce un ServletFilter che utilizza API Windows native per autenticare l'utente, utilizzando l'autenticazione di base o di negoziazione. Quindi l'utente può essere impersonato e le chiamate API native verranno eseguite con il token di accesso dell'utente impersonato.

Answer 2

Che ne dici di usare il realm JAAS e usare il modulo JAAS kerberos 5?

http://tomcat.apache.org/tomcat-6.0-doc/realm-howto.html #JAASRealm

http://java.sun.com/j2se/1.4.2/docs/guide/security/jaas/spec/com/sun/security/auth/module/Krb5LoginModule.html

Sembra che potrebbe richiedere un po 'di codice, ma i pezzi dovrebbero essere lì.

Answer 3

Ecco un http://spnego.sourceforge.net/credential_delegation.html . Implementa Kerberos / SPNEGO come filtro servlet HTTP e supporta la delega delle credenziali.