从 Java 验证 SPNEGO 票证是一个有点复杂的过程。这是一个简短的概述，但请记住，该过程可能有很多陷阱。您确实需要了解 Active Directory、Kerberos、SPNEGO 和 JAAS 都是如何运行才能成功诊断问题的。
在开始之前，请确保您知道您的 Windows 域的 kerberos 领域名称。出于这个答案的目的，我假设它是 MYDOMAIN。您可以通过在 cmd 窗口中运行 echo %userdnsdomain% 来获取领域名称。请注意，kerberos 区分大小写，并且领域几乎总是全部大写。
第 1 步 - 获取 Kerberos 密钥表
为了让 kerberos 客户端访问服务，它会请求代表该服务的服务主体名称 [SPN] 的票证。 SPN 通常源自机器名称和正在访问的服务类型（例如HTTP/www.my-domain.com）。为了验证特定 SPN 的 kerberos 票证，您必须拥有一个密钥表文件，其中包含 Kerberos 域控制器 [KDC] 票证授予票证 [TGT] 服务和服务提供商（您）都知道的共享机密。
就 Active Directory 而言，KDC 是域控制器，而共享机密只是 拥有 SPN 的帐户的纯文本密码。 SPN 可能由 AD 中的计算机或用户对象拥有。
如果要定义服务，在 AD 中设置 SPN 的最简单方法是设置基于用户的 SPN，如下所示：
- 在 AD 中创建一个无特权的服务帐户，其密码不会过期，例如SVC_HTTP_MYSERVER，密码为
ReallyLongRandomPass
-
使用 windows setspn 实用程序将服务 SPN 绑定到帐户。最佳做法是为主机的短名称和 FQDN 定义多个 SPN：
setspn -U -S HTTP/myserver@MYDOMAIN SVC_HTTP_MYSERVER
setspn -U -S HTTP/myserver.my-domain.com@MYDOMAIN SVC_HTTP_MYSERVER
-
使用 Java 的 ktab 实用程序为帐户生成密钥表。
ktab -k FILE:http_myserver.ktab -a HTTP/myserver@MYDOMAIN ReallyLongRandomPass
ktab -k FILE:http_myserver.ktab -a HTTP/myserver.my-domain.com@MYDOMAIN ReallyLongRandomPass
如果您尝试对绑定到计算机帐户或不受您控制的用户帐户的预先存在的 SPN 进行身份验证，则上述方法将不起作用。您将需要从 ActiveDirectory 本身中提取密钥表。 Wireshark Kerberos Page 对此有一些很好的指导。
第 2 步 - 设置您的 krb5.conf
在%JAVA_HOME%/jre/lib/security 创建一个描述您的域的 krb5.conf。确保您在此处定义的领域与您为 SPN 设置的领域相匹配。如果不把文件放到JVM目录下，可以在命令行设置-Djava.security.krb5.conf=C:\path\to\krb5.conf指向它。
例子：
[libdefaults]
default_realm = MYDOMAIN
[realms]
MYDOMAIN = {
kdc = dc1.my-domain.com
default_domain = my-domain.com
}
[domain_realm]
.my-domain.com = MYDOMAIN
my-domain.com = MYDOMAIN
第 3 步 - 设置 JAAS login.conf
您的 JAAS login.conf 应该定义一个登录配置，将 Krb5LoginModule 设置为接受器。这是一个假设我们在上面创建的 keytab 位于C:\http_myserver.ktab 中的示例。通过在命令行中设置-Djava.security.auth.login.config=C:\path\to\login.conf 指向JASS 配置文件。
http_myserver_mydomain {
com.sun.security.auth.module.Krb5LoginModule required
principal="HTTP/myserver.my-domain.com@MYDOMAIN"
doNotPrompt="true"
useKeyTab="true"
keyTab="C:/http_myserver.ktab"
storeKey="true"
isInitiator="false";
};
或者，您可以像这样在运行时生成 JAAS 配置：
public static Configuration getJaasKrb5TicketCfg(
final String principal, final String realm, final File keytab) {
return new Configuration() {
@Override
public AppConfigurationEntry[] getAppConfigurationEntry(String name) {
Map<String, String> options = new HashMap<String, String>();
options.put("principal", principal);
options.put("keyTab", keytab.getAbsolutePath());
options.put("doNotPrompt", "true");
options.put("useKeyTab", "true");
options.put("storeKey", "true");
options.put("isInitiator", "false");
return new AppConfigurationEntry[] {
new AppConfigurationEntry(
"com.sun.security.auth.module.Krb5LoginModule",
LoginModuleControlFlag.REQUIRED, options)
};
}
};
}
您可以像这样为此配置创建一个 LoginContext：
LoginContext ctx = new LoginContext("doesn't matter", subject, null,
getJaasKrbValidationCfg("HTTP/myserver.my-domain.com@MYDOMAIN", "MYDOMAIN",
new File("C:/path/to/my.ktab")));
第 4 步 - 接受票证
这有点不合时宜，但总体思路是定义一个使用票证执行 SPNEGO 协议的 PrivilegedAction。请注意，此示例不检查 SPNEGO 协议是否完整。例如，如果客户端请求服务器身份验证，则需要在 HTTP 响应的身份验证标头中返回 acceptSecContext() 生成的令牌。
public class Krb5TicketValidateAction implements PrivilegedExceptionAction<String> {
public Krb5TicketValidateAction(byte[] ticket, String spn) {
this.ticket = ticket;
this.spn = spn;
}
@Override
public String run() throws Exception {
final Oid spnegoOid = new Oid("1.3.6.1.5.5.2");
GSSManager gssmgr = GSSManager.getInstance();
// tell the GSSManager the Kerberos name of the service
GSSName serviceName = gssmgr.createName(this.spn, GSSName.NT_USER_NAME);
// get the service's credentials. note that this run() method was called by Subject.doAs(),
// so the service's credentials (Service Principal Name and password) are already
// available in the Subject
GSSCredential serviceCredentials = gssmgr.createCredential(serviceName,
GSSCredential.INDEFINITE_LIFETIME, spnegoOid, GSSCredential.ACCEPT_ONLY);
// create a security context for decrypting the service ticket
GSSContext gssContext = gssmgr.createContext(serviceCredentials);
// decrypt the service ticket
System.out.println("Entering accpetSecContext...");
gssContext.acceptSecContext(this.ticket, 0, this.ticket.length);
// get the client name from the decrypted service ticket
// note that Active Directory created the service ticket, so we can trust it
String clientName = gssContext.getSrcName().toString();
// clean up the context
gssContext.dispose();
// return the authenticated client name
return clientName;
}
private final byte[] ticket;
private final String spn;
}
然后，要验证票证，您将执行以下操作。假设 ticket 包含来自身份验证标头的已经经过 base-64 解码的票证。如果格式为HTTP/<HOST>@<REALM>，则spn 应派生自HTTP 请求中的Host 标头。例如。如果Host 标头是myserver.my-domain.com，那么spn 应该是HTTP/myserver.my-domain.com@MYDOMAIN。
public boolean isTicketValid(String spn, byte[] ticket) {
LoginContext ctx = null;
try {
// this is the name from login.conf. This could also be a parameter
String ctxName = "http_myserver_mydomain";
// define the principal who will validate the ticket
Principal principal = new KerberosPrincipal(spn, KerberosPrincipal.KRB_NT_SRV_INST);
Set<Principal> principals = new HashSet<Principal>();
principals.add(principal);
// define the subject to execute our secure action as
Subject subject = new Subject(false, principals, new HashSet<Object>(),
new HashSet<Object>());
// login the subject
ctx = new LoginContext("http_myserver_mydomain", subject);
ctx.login();
// create a validator for the ticket and execute it
Krb5TicketValidateAction validateAction = new Krb5TicketValidateAction(ticket, spn);
String username = Subject.doAs(subject, validateAction);
System.out.println("Validated service ticket for user " + username
+ " to access service " + spn );
return true;
} catch(PriviledgedActionException e ) {
System.out.println("Invalid ticket for " + spn + ": " + e);
} catch(LoginException e) {
System.out.println("Error creating validation LoginContext for "
+ spn + ": " + e);
} finally {
try {
if(ctx!=null) { ctx.logout(); }
} catch(LoginException e) { /* noop */ }
}
return false;
}