身份验证交换.

当主体首先访问网络或尝试访问受保护的服务时，无需票据授予票据(TGT)时，他们将面临通过其凭证对身份验证服务(AS)进行身份验证的挑战。AS 根据配置的身份存储验证用户提供的凭据，在成功通过身份验证后，主体将发出 TGT，由客户端缓存。TGT 还包含一些会话信息，从而保证将来客户端和 KDC 之间的通信安全。

票据授予或授权交换.

委托人获得 TGT 后，即可尝试访问受保护的服务或资源。主体发送请求到向问题单授予服务(TGS)，传递由 KDC 发出的 TGT，并为特定目的地请求服务票据(ST)。TGS 检查由主体提供的 TGT，并验证它们是否具有访问请求的资源的适当权限。如果成功，TGS 会发出 ST 供主体访问该特定目的地。TGS 还为客户端和目标服务器创建会话信息，以允许两者之间的安全通信。此会话信息是单独加密的，这样客户端和服务器只能使用 KDC 单独提供的长期密钥来解密其自身的会话信息，与之前的事务。TGS 随后通过 ST 响应客户端，该 ST 包含客户端和服务器的会话信息。

访问服务器.

现在主体有安全服务 ST 以及与该服务器进行安全通信的机制，客户端现在可以建立连接并尝试访问受保护的资源。客户端首先将 ST 传递到目标服务器。此 ST 包含从该目的地从 TGS 收到的会话信息的服务器组件。服务器尝试使用来自 KDC 的长期密钥解密客户端传递给它的会话信息。如果成功，客户端已成功通过服务器的身份验证，并且该服务器也被视为对客户端进行身份验证。此时，在客户端和服务器之间建立了信任并可以继续进行通信。

配置 kerberos-security-factory。

/subsystem=elytron/kerberos-security-factory=krbSF:add(principal="HTTP/host@REALM", path="/path/to/http.keytab", mechanism-oids=[1.2.840.113554.1.2.2, 1.3.6.1.5.5.2])

配置 Kerberos 的系统属性.

根据您的环境配置方式，您需要设置以下部分系统属性。

使用管理 CLI 在 JBoss EAP 中配置系统属性：

/system-property=java.security.krb5.conf:add(value="/path/to/krb5.conf")

配置 Elytron 安全域以分配角色。

客户端的 Kerberos 令牌将提供主体，但您需要设法将该主体映射到您的应用的角色。实现这一目标的方法有多种，但本例创建了 文件系统realm，将用户添加到与 Kerberos 令牌中主体匹配的域中，并将角色分配给该用户。

添加 simple-role-decoder。

/subsystem=elytron/simple-role-decoder=from-roles-attribute:add(attribute=Roles)

此 simple-role-decoder 从 Roles 属性解码主体的角色。如果您的角色在不同的属性中，您可以更改此值。

配置 安全域.

/subsystem=elytron/security-domain=exampleFsSD:add(realms=[{realm=exampleFsRealm, role-decoder=from-roles-attribute}], default-realm=exampleFsRealm, permission-mapper=default-permission-mapper)

配置 http-authentication-factory，它使用 kerberos-security-factory。

/subsystem=elytron/http-authentication-factory=example-krb-http-auth:add(http-server-mechanism-factory=global, security-domain=exampleFsSD, mechanism-configurations=[{mechanism-name=SPNEGO, mechanism-realm-configurations=[{realm-name=exampleFsSD}], credential-security-factory=krbSF}])

在 undertow 子系统中配置 application-security-domain ：

/subsystem=undertow/application-security-domain=app-spnego:add(http-authentication-factory=example-krb-http-auth)

配置服务器身份或主机安全域。

此安全域将容器本身身份验证到 KDC。它需要使用登录模块，该模块接受静态登录机制，因为实际用户不参与此连接。以下示例使用静态主体并引用包含凭据的 keytab 文件。

/subsystem=security/security-domain=host:add(cache-type=default)

/subsystem=security/security-domain=host/authentication=classic:add()

/subsystem=security/security-domain=host/authentication=classic/login-module=Kerberos:add(code=Kerberos, flag=required, module-options=[storeKey=true, refreshKrb5Config=true, useKeyTab=true, principal=host/testserver@MY_REALM, keyTab=/home/username/service.keytab, doNotPrompt=true, debug=false])

reload

如果使用 IBM JDK，Kerberos 模块的选项会有所不同。jboss.security.disable.secdomain.option 系统属性必须设置为 true。如需更多信息，请参阅 配置相关系统属性。此外，登录模块应配置如下：

/subsystem=security/security-domain=host:add(cache-type=default)

/subsystem=security/security-domain=host/authentication=classic:add()

/subsystem=security/security-domain=host/authentication=classic/login-module=Kerberos:add(code=Kerberos, flag=required, module-options=[principal=host/testserver@MY_REALM, keyTab="file:///root/keytab", credsType=acceptor])

reload

有关配置 Kerberos 登录模块的完整选项列表，请参阅 JBoss EAP 登录模块参考。

配置 Web 应用安全域。

Web 应用安全域用于验证单个用户到 KDC。需要至少有一个登录模块来验证用户身份。还必须有办法搜索要应用到用户的角色。这可以通过许多不同的方式来实现，例如添加 <mapping> 来 手动将用户映射到角色，添加第二个登录模块来映射用户到角色，等等。

以下显示了一个 Web 应用安全域示例：

/subsystem=security/security-domain=app-spnego:add(cache-type=default)

/subsystem=security/security-domain=app-spnego/authentication=classic:add()

/subsystem=security/security-domain=app-spnego/authentication=classic/login-module=SPNEGO:add(code=SPNEGO, flag=required, module-options=[serverSecurityDomain=host])

reload

有关配置 SPNEGO 登录模块的完整选项列表，请参阅 JBoss EAP 登录模块参考。

配置相关系统属性.

JBoss EAP 提供配置与连接 Kerberos 服务器相关的系统属性的功能。根据 KDC、Kerberos 域和网络配置，以下系统属性可能也可能不是必需的：

<system-properties>
  <property name="java.security.krb5.kdc" value="mykdc.mydomain"/>
  <property name="java.security.krb5.realm" value="MY_REALM"/>
  <property name="java.security.krb5.conf" value="/path/to/krb5.conf"/>
  <property name="jboss.security.disable.secdomain.option" value="true"/>
  <property name="sun.security.krb5.debug" value="false"/>
</system-properties>

有关配置系统属性的更多信息，请参阅 JBoss EAP 管理 CLI 指南。

清除现有的服务主体映射。

在 Microsoft Windows 网络上，将自动创建一些映射。删除自动创建的映射，将服务器的身份映射到服务主体，以便正确进行协商。该映射使客户端计算机上的 Web 浏览器能够信任服务器并尝试 SPNEGO。客户端计算机通过域控制器验证以 HTTP/HOST_NAME 形式进行的 映射。

以下是删除现有映射的步骤：

setspn -L MACHINE_NAME

setspn -D HTTP/HOST_NAME MACHINE_NAME

setspn -D host/HOST_NAME MACHINE_NAME

创建主机用户帐户。

在本节的其余部分中，主机名指代为 USER_NAME。

定义 USER_NAME 和 HOST_NAME 之间的映射。

运行以下命令来配置服务主体映射：

ktpass -princ HTTP/HOST_NAME@REALM -pass * [-kvno 0] -mapuser DOMAIN\USER_NAME -out jboss.keytab -ptype KRB5_NT_PRINCIPAL -crypto all

出现提示时，输入用户名的密码。

运行以下命令来验证映射：sets pn -L USER_NAME.

在安全域中定义主体。

主体可以在 elytron 或传统 安全 子系统中定义或更新至 HTTP/HOST_NAME@REALM。

将 JBoss EAP 和 Web 应用配置为使用 Kerberos 和 SPNEGO.

有关配置 JBoss EAP 和 Web 应用以使用 Kerberos 和 SPNEGO 进行身份验证和授权所需的步骤，请参阅如何使用 Kerberos 设置 SSO。

添加登录和错误页面。

要使用 FORM 登录，需要登录和错误页面。这些文件添加到 Web 应用中，并在身份验证过程中使用。

<html>
  <head></head>
  <body>
    <form id="login_form" name="login_form" method="post" action="j_security_check" enctype="application/x-www-form-urlencoded">
      <center> <p>Please login to proceed.</p> </center>
      <div style="margin-left: 15px;">
        <p> <label for="username">Username</label> <br /> <input id="username" type="text" name="j_username"/> </p>
        <p> <label for="password">Password</label> <br /> <input id="password" type="password" name="j_password" value=""/> </p>
        <center> <input id="submit" type="submit" name="submit" value="Login"/> </center>
      </div>
    </form>
  </body>
</html>

<html>
  <head></head>
  <body>
    <p>Login failed, please go back and try again.</p>
  </body>
</html>

修改 web.xml。

向 Web 应用中添加登录和错误页面后，必须更新 web.xml，以将这些文件用于 FORM 登录。确切的 值 FORM 必须添加到 <auth-method> 元素中。因为 <auth-method> 需要一个用逗号分开的列表和顺序，所以 <auth-method> 的确切 值必须更新为 SPNEGO,FORM。另外，<form-login-config> 元素必须添加到 <login-config> 中，以及作为 <form- login-page> 和 <form-error-page&gt; 元素指定的登录路径和错误页面。

<web-app>
  <display-name>App1</display-name>
  <description>App1</description>
  <!-- Define a security constraint that requires the Admin role to access resources -->
  <security-constraint>
    <display-name>Security Constraint on Conversation</display-name>
    <web-resource-collection>
      <web-resource-name>examplesWebApp</web-resource-name>
      <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>Admin</role-name>
    </auth-constraint>
  </security-constraint>
  <!-- Define the Login Configuration for this Application -->
  <login-config>
    <auth-method>SPNEGO,FORM</auth-method>
    <realm-name>SPNEGO</realm-name>
    <form-login-config>
      <form-login-page>/login.jsp</form-login-page>
      <form-error-page>/error.jsp</form-error-page>
    </form-login-config>
  </login-config>
  <!-- Security roles referenced by this web application -->
  <security-role>
    <description> role required to log in to the Application</description>
    <role-name>Admin</role-name>
  </security-role>
</web-app>

在 http-authentication-factory 中添加 FORM 身份验证 机制。

您可以使用您为基于 kerberos 的身份验证配置的现有 http-authentication-factory，以及用于 FORM 身份验证 的额外机制。

/subsystem=elytron/http-authentication-factory=example-krb-http-auth:list-add(name=mechanism-configurations, value={mechanism-name=FORM})

添加额外的回退主体。

基于 kerberos 的身份验证的现有配置应已配置了安全域，用于将主体从 kerberos 令牌映射到应用的角色。您可以向该域添加用于回退身份验证的其他用户。例如，如果您使用的是 filesystem-realm，只需创建一个具有适当角色的新用户：

按照 为应用配置 Kerberos 身份验证 的说明创建执行 Kerberos 身份验证 的 http-authentication-factory。

更新管理 HTTP 接口，以使用 http-authentication-factory。

/core-service=management/management-interface=http-interface:write-attribute(name=http-authentication-factory, value=example-krb-http-auth)

将 GSSAPI 添加到 可配置-sasl-server-factory.

/subsystem=elytron/configurable-sasl-server-factory=configured:list-add(name=filters, value={pattern-filter=GSSAPI})

创建一个 sasl-authentication-factory，它使用安全域和 kerberos-security-factory。

/subsystem=elytron/sasl-authentication-factory=example-sasl-auth:add(sasl-server-factory=configured, security-domain=exampleFsSD, mechanism-configurations=[{mechanism-name=GSSAPI, mechanism-realm-configurations=[{realm-name=exampleFsSD}], credential-security-factory=krbSF}])

更新管理 SASL 接口，以使用 sasl-authentication-factory。

/core-service=management/management-interface=http-interface:write-attribute(name=http-upgrade.sasl-authentication-factory, value=example-sasl-auth)

reload

启用相关的系统属性。

如上一节中所述，启用任何所需的 JBoss EAP 系统属性，以连接 Kerberos 服务器。

将 Kerberos 服务器身份添加到安全域：

在安全域中可以使用 Kerberos 身份验证之前，必须先添加与 Kerberos 服务器的连接。以下示例演示了如何将 Kerberos 服务器身份添加到现有的管理域。您需要将 service-name、hostname和 MY-REALM 替换为适当的值。

/core-service=management/security-realm=ManagementRealm/server-identity=kerberos:add()

/core-service=management/security-realm=ManagementRealm/server-identity=kerberos/keytab=service-name\/hostname@MY-REALM:add(path=/home\/username\/service.keytab, debug=true)

reload

更新安全域中的身份验证方法。

正确配置了 Kerberos 服务器身份后，需要更新安全域中的身份验证方法以使用它。

/core-service=management/security-realm=ManagementRealm/authentication=kerberos:add()

reload

通过 Kerberos 保护这两个接口.

如果您想同时使用 Kerberos 保护基于 Web 的管理控制台和管理 CLI，则需要为每个 Kerberos 配置 Kerberos 服务器身份。若要添加其他身份，可使用以下命令：

/core-service=management/security-realm=ManagementRealm/server-identity=kerberos/keytab=remote\/hostname@MY-REALM:add(path=/home\/username\/remote.keytab, debug=true)

reload

使用 remoting 和 RealmDirect配置安全域

您需要配置安全域，以供通过远程访问的服务使用。此安全域需要同时使用 Remoting login 模块和 RealmDirect 登录模块，如 RealmDirect 或 RealmUsersRoles。本质上，它应当与默认提供 的其他 安全域非常相似。有关每个登录模块的具体配置选项的详情，请查看 JBoss EAP 登录模块参考。

/subsystem=security/security-domain=krb-remoting-domain:add()

/subsystem=security/security-domain=krb-remoting-domain/authentication=classic:add()

/subsystem=security/security-domain=krb-remoting-domain/authentication=classic/login-module=Remoting:add(code=Remoting, flag=optional, module-options=[password-stacking=useFirstPass])

/subsystem=security/security-domain=krb-remoting-domain/authentication=classic/login-module=RealmDirect:add(code=RealmDirect, flag=required, module-options=[password-stacking=useFirstPass, realm=krbRealm])

/subsystem=security/security-domain=krb-remoting-domain/mapping=classic:add()

/subsystem=security/security-domain=krb-remoting-domain/mapping=classic/mapping-module=SimpleRoles:add(code=SimpleRoles, type=role, module-options=["testUser"="testRole"])

reload

为 Kerberos 身份验证配置安全域.

有关使用 Kerberos 身份验证设置安全域 的信息，请参见"通过 Kerberos 保护管理接口 "一节。

/core-service=management/security-realm=krbRealm:add()

/core-service=management/security-realm=krbRealm/server-identity=kerberos:add()

/core-service=management/security-realm=krbRealm/server-identity=kerberos/keytab=remote\/localhost@JBOSS.ORG:add(path=\/path\/to\/remote.keytab, debug=true)

/core-service=management/security-realm=krbRealm/authentication=kerberos:add(remove-realm=true)

reload

在远程子系统 中配置 HTTP 连接器。

此外，您需要在远程子系统 中配置 HTTP 连接器，以使用新创建的安全域。

/subsystem=remoting/http-connector=http-remoting-connector:write-attribute(name=security-realm, value=krbRealm)

配置 服务的安全性。

您还必须设置使用远程接口访问的服务以 进行保护。这将因服务而异。例如，对于 Jakarta Enterprise Beans，您可以使用 @SecurityDomain 和 @RolesAllowed 注释。

定义要从中加载身份的安全域。它用于分配角色。

/path=kerberos:add(relative-to=user.home, path=src/kerberos)

/subsystem=elytron/properties-realm=kerberos-properties:add(users-properties={path=kerberos-users.properties, relative-to=kerberos, digest-realm-name=ELYTRON.ORG}, groups-properties={path=kerberos-groups.properties, relative-to=kerberos})

为服务器身份定义 Kerberos 安全工厂。

/subsystem=elytron/kerberos-security-factory=test-server:add(relative-to=kerberos, path=remote-test-server.keytab, principal=remote/test-server.elytron.org@ELYTRON.ORG)

定义安全域，以及 SASL 身份验证工厂。

/subsystem=elytron/security-domain=KerberosDomain:add(default-realm=kerberos-properties, realms=[{realm=kerberos-properties, role-decoder=groups-to-roles}], permission-mapper=default-permission-mapper)

/subsystem=elytron/sasl-authentication-factory=gssapi-authentication-factory:add(security-domain=KerberosDomain, sasl-server-factory=elytron, mechanism-configurations=[{mechanism-name=GSSAPI, credential-security-factory=test-server}])

在 远程子系统中，使用创建的 sasl-authentication-factory 将它启用以进行远程处理。

/subsystem=remoting/http-connector=http-remoting-connector:write-attribute(name=sasl-authentication-factory, value=gssapi-authentication-factory)

配置 服务的安全性。

如果您引用了 Jakarta Enterprise Beans 中的安全域，您必须指定映射到 Elytron 安全域的 application-security-domain。例如，通过 Jakarta Enterprise Beans，您可以使用 @SecurityDomain 注释。

/subsystem=ejb3/application-security-domain=KerberosDomain:add(security-domain=KerberosDomain)