5.7. 使用 Kerberos 为 Web 应用程序提供 SSO

在 Kerberos 服务器中创建了以下用户：

以下角色通过一个额外的模块映射到用户，该模块通过将 password-stacking 选项设置为 使用FirstPass 来串联：

每个应用程序中也配置了以下角色：

在启动时，EAP1 加载核心服务，后跟 security 和其他子系统。host-domain 建立与 Kerberos 服务器的连接，并且 spnego-domain 连接到 host-domain。sampleAppA 和 sampleAppB 已部署并连接到 spnego-domain 进行身份验证。

Brent 已登录到使用 Kerberos 保护的计算机。他打开浏览器并尝试访问 sampleAppA/secure/hello.html。由于这一点是安全的，因此需要进行身份验证。EAP1 指示浏览器向 Kerberos 服务器发送密钥请求，特别是在其计算机上配置的 Kerberos 密钥分发中心。浏览器获取密钥后，它将被发送到 simpleAppA。simpleAppA 将票据发送到 spnego-domain，该票据被解包，并且身份验证由 host-domain 与配置的 Kerberos 服务器结合使用。票据通过身份验证后，Braent 的角色将传回 simpleAppA 以执行授权。由于 Brent 具有 all 角色，因此他能够访问 sampleAppA/secure/hello.html。如果 Brent 尝试访问 sampleAppB/secure/hello.html，则会出现同一个进程。由于他拥有 所有 角色，因此他将获得访问权限。Andy 和 Bill 将遵循同样的过程，但 Andy 只能访问 sampleAppA/secure/hello.html，并且没有 sampleAppB/secure/hello.html。Bill 将是相反的，它有权访问 sampleAppB/secure/hello.html 且没有 sampleAppA/secure/hello.html。Ron 会将身份验证传递给 sampleAppA/secure/hello.html 或 sampleAppB/secure/hello.html，但不会获得对它的访问权限，因为他没有角色。

如果 Andy 试图从未由 Kerberos 保护的计算机访问 sampleAppA/secure/hello.html，例如连接到 Office 网络的个人笔记本电脑，他将被定向到 FORM 登录页面，作为回退登录机制。然后，他的凭据将通过回退安全域进行身份验证，进程将继续获得授权。

更新于 2024-02-09