在网站上使用 Kerberos 票证身份验证？答案

【问题标题】：Using Kerberos ticket authentication on a website?在网站上使用 Kerberos 票证身份验证？
【发布时间】：2015-07-30 16:23:27
【问题描述】：

我的办公室使用我们登录并创建本地票证的本地 Kerberos 客户端。我想知道是否可以将其转发到网站？我想我误解了其中一些是如何组合在一起的。

我读到 Chrome 有某种 Kerberos 票证转发 AuthNegotiateDelegateWhitelist： https://www.chromium.org/administrators/policy-list-3

但我找不到它是如何工作的。本地票是否应某些请求转发？

我是否可以让 Apache 之类的东西要求使用票证进行身份验证并为其提供服务器进行身份验证，然后我的代码（通过 cookie 或其他东西？）就可以访问经过身份验证的票证和用户名？

谢谢

【问题讨论】：

【解决方案1】：

Chrome 中的 AuthNegotiateDelegateWhitelist 标志是一种指定应允许哪些网络服务器委托 Kerberos 票证的方法。默认情况下，不授予此权限。允许委托意味着允许 Web 服务器和更深层（例如数据库）之间的 Kerberos 身份验证。在这种情况下：

Chrome 使用 Kerberos 登录网络服务器
网络服务器使用 Kerberos 登录数据库（仅当您允许网络服务器在此处使用 Kerberos，即仅当您在 Chrome 中的标志 AuthNegotiateDelegateWhitelist 中列出此网络服务器时才可能）

【讨论】：