我们是否需要为所有AD用户提供密钥表项，以进行基于kerberos的身份验证？

Question

我在jboss上部署了一个Web应用程序。到目前为止，我们已经实现了https://www.jcifs.org/提供的NTLMHttpFilter。由于此Java筛选器仅支持NTLMV1，因此现在我需要将身份验证更新为基于kerberos的身份验证，以使用spnego支持kerberos，但是我仍然不确定，我是否必须为所有现有应用程序用户生成一个keytab文件。如果是，我每次用户更新Windows密码时如何更新keytab密码？还请让我知道服务帐户和用户帐户的密钥表位置？我的目的是使用集成的Windows身份验证提供无提示的sso功能。

Answer 1

您只需为应用程序的服务帐户（而不是每个用户）提供一个keytab文件。用户从KDC请求该应用程序的服务票。