我目前正在尝试扩展我们的 SSO 解决方案。我的公司使用在 Tomcat 上运行的 JOSSO 服务器为用户启用单点登录。现在我想使用用户 Windows 凭据自动登录 JOSSO 服务器。我研究了各种方法，即。 Kerberos、Spnego 和 Windows 集成身份验证，但我不知道它们如何协同工作。
谁能告诉我我需要哪些物理组件以及它们之间的粗略通信方式？
【问题讨论】：
标签： tomcat single-sign-on kerberos spnego josso
物理组件及其协同工作应在此处可见：
http://www.josso.org/confluence/display/JOSSO1/Architecture+Overview
由于 Kerberos 与 Windows 中的 NTLM 混合在一起
https://en.wikipedia.org/wiki/NT_LAN_Manager#Availability_and_use_of_NTLM
Microsoft 已将 NTLM 哈希添加到其实现 提高互操作性的 Kerberos 协议
从使用上看可能并不明显，实际的 SSO 技术在下面运行。
您应该对以下页面感到满意，例如：
测试 Windows 身份验证登录到 Windows 工作站 使用以前的与 Active Directory 域相关联 创建帐户（即 user1）。打开 Internet Explorer 实例并 访问受 JOSSO 保护的资源 URL。您应该被授予访问权限 透明的受保护资源，无需任何用户名提示 和密码。
通常您会在每个将托管的容器中安装一个代理 SSO 合作伙伴应用程序。例如，如果您有应用程序 部署在 Tomcat 和 JBoss 上，您必须在 每个容器。代理是服务提供商的一部分（合作伙伴 应用程序）运行时环境。
使用此配置，您可以设置：网关登录 URL，其中 单点登录代理将用户重定向到受保护的资源 访问请求，以便他可以进行身份验证。网关注销 URL， 单点登录代理将在注销时重定向用户 要求。用于调用的具体服务定位器 单点登录网关的服务。单点登录合作伙伴 applications 这个配置文件只定义了一个伙伴 与 /partnerapp Web 上下文关联的应用程序。这表示 与 /partnerapp Web 上下文关联的 Web 应用程序 将放在单点登录之后。您可以定义其他合作伙伴 应用程序。
【讨论】：