Java Kerberos 票据更新 TGT

Question

我在其中一个 POC 中使用 Krb5LoginModule。我提供了 useDefaultCache=true 和 renewTGT=true。

尽管我提到了 renewTGT=true，但当票证过期时，代码会引发异常。我已在 Windows 注册表中将 allowtgtsessionkey 值设置为 1（我正在运行 XP SP2）。 KDC (ActiveDirectory) 设置是默认设置。票证有效期 = 10 小时，续订请求阈值 = 7 天。

源代码

import java.util.HashMap;
import java.util.Map;
import javax.security.auth.Subject;
import com.sun.security.auth.module.Krb5LoginModule;

public class Temp3 {
    public static void main(String[] args) throws Exception {
        System.setProperty("sun.security.krb5.debug", "true");

        Subject subject = new Subject();

        Krb5LoginModule krb5 = new Krb5LoginModule();

        Map <String, String> map = new HashMap <String, String>();
        map.put("useTicketCache", "true");
        map.put("doNotPrompt", "true");
        map.put("renewTGT", "true");
        map.put("debug", "true");

        krb5.initialize(subject, null, null, map);
        krb5.login();
        krb5.commit();
        System.out.println(subject);
    }
}

当票证未过期时，代码工作正常，即我在运行上述代码后 10 小时内运行 kinit 的时间。

我编写此 POC 是因为我必须使用 SQL Server 驱动程序（4.0 版）运行基于 JDBC 的应用程序。我不希望长时间运行的服务在数据库重新连接尝试期间失败，这可能是由于网络故障等因素导致管道损坏。

Answer 1

你走错路了。首先，您应该使用LoginContext 来获取凭据，而不是直接与 Kerberos 5 交互。其次，非人工访问需要一个 keytab。这相当于 TGT。为您的服务器导出 Keytab 并修改 Krb5LoginModule 配置。 This 教程会帮助你。