創建一個域用戶，該用戶將映射到Tomcat服務器使用的服務名稱。在本說明中，此用戶稱爲tc01，密碼爲tc01pass。
將服務主體名稱（SPN）映射到用戶帳戶。SPN的形式爲
/
:
/
。本說明中使用的SPN是HTTP/win-tc01.dev.local。要將用戶映射到SPN，請運行以下命令：
setspn -A HTTP/win-tc01.dev.local tc01
生成密鑰表文件，Tomcat服務器將使用該文件向域控制器進行身份驗證。該文件包含了服務提供程序帳戶的Tomcat私鑰，應當受到保護。要生成文件，請運行以下命令（所有命令放在一行上）：
```
ktpass /out c:\tomcat.keytab /mapuser [email protected]
          /princ HTTP/[email protected]
          /pass tc01pass /kvno 0
```
創建一個用於客戶端的域用戶。在本說明中，域用戶爲test，密碼爲testpass。

上述步驟已在運行Windows Server 2019 Standard的域控制器上進行了測試，該服務器使用了Windows Server 2016的功能級別，用於森林和域。

Tomcat實例（Windows服務器）

這些步驟假定Tomcat和Java 11 JDK/JRE已經安裝和配置，並且Tomcat正在以[email protected]用戶身份運行。配置Tomcat實例以進行Windows身份驗證的步驟如下：

將在域控制器上創建的tomcat.keytab文件複製到$CATALINA_BASE/conf/tomcat.keytab。
創建Kerberos配置文件$CATALINA_BASE/conf/krb5.ini。本說明中使用的文件包含以下內容：

[libdefaults]
default_realm = DEV.LOCAL
default_keytab_name = FILE:c:\apache-tomcat-11.0.x\conf\tomcat.keytab
default_tkt_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96
default_tgs_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96
forwardable=true

[realms]
DEV.LOCAL = {
        kdc = win-dc01.dev.local:88
}

[domain_realm]
dev.local= DEV.LOCAL
.dev.local= DEV.LOCAL

這個文件的位置可以通過設置java.security.krb5.conf系統屬性來改變。

創建JAAS登錄配置文件$CATALINA_BASE/conf/jaas.conf。本說明中使用的文件內容如下：

com.sun.security.jgss.krb5.initiate {
    com.sun.security.auth.module.Krb5LoginModule required
    doNotPrompt=true
    principal="HTTP/[email protected]"
    useKeyTab=true
    keyTab="c:/apache-tomcat-11.0.x/conf/tomcat.keytab"
    storeKey=true;
};

com.sun.security.jgss.krb5.accept {
    com.sun.security.auth.module.Krb5LoginModule required
    doNotPrompt=true
    principal="HTTP/[email protected]"
    useKeyTab=true
    keyTab="c:/apache-tomcat-11.0.x/conf/tomcat.keytab"
    storeKey=true;
};

這個文件的位置可以通過設置java.security.auth.login.config系統屬性來改變。使用的LoginModule是特定於JVM的，因此確保指定的LoginModule與使用的JVM匹配。登錄配置的名稱必須與身份驗證閥值使用的值相匹配。

SPNEGO驗證器將與任何Realm一起工作，但如果與JNDI Realm一起使用，默認情況下，JNDI Realm將使用用戶的委派憑據連接到Active Directory。如果只需要認證的用戶名，則可以使用AuthenticatedUserRealm，它將簡單地返回基於認證用戶名的Principal，而不具有任何角色。

以上步驟已在運行Windows Server 2019 Standard和AdoptOpenJDK 8u232-b09（64位）的Tomcat服務器上進行了測試。

Tomcat實例（Linux服務器）

這是使用以下進行測試的：

Java 1.7.0，更新45，64位
Ubuntu Server 12.04.3 LTS 64位
Tomcat 8.0.x（r1546570）

它應該適用於任何Tomcat版本，儘管建議使用最新的穩定版本。

配置與Windows相同，但有以下更改：

Linux服務器不必成爲Windows域的一部分。
在krb5.ini和jaas.conf中，密鑰表文件的路徑應更新爲反映Linux服務器上密鑰表文件的路徑，使用Linux風格的文件路徑（例如，/usr/local/tomcat/...）。

Web應用程序

Web應用程序需要在web.xml中配置使用Tomcat特定的SPNEGO身份驗證方法（而不是BASIC等）。與其他身份驗證器一樣，可以通過明確配置身份驗證閥和在閥上設置屬性來自定義行爲。

客戶端

客戶端必須配置爲使用Kerberos身份驗證。對於Internet Explorer，這意味着確保Tomcat實例位於“本地內部網絡”安全域中，並且已配置（工具 > Internet選項 > 高級）啓用集成的Windows身份驗證。請注意，如果您將客戶端和Tomcat實例使用相同的計算機，那麼這將無法正常工作，因爲Internet Explorer將使用不受支持的NTLM協議。

參考資料

正確配置Kerberos身份驗證可能會有些棘手。以下參考資料可能會有所幫助。

Tomcat用戶郵件列表上也始終提供建議。

IIS和Kerberos
SourceForge上的SPNEGO項目
Oracle Java GSS-API教程（Java 7）
Oracle Java GSS-API教程 - 故障排除（Java 7）
Geronimo用於Windows身份驗證的配置
在Kerberos交換中選擇加密
支持的Kerberos密碼套件

web server apache tomcat11-29-Windows Authentication

前言

開源項目

系列文章

概述

內置的Tomcat支持

域控制器

Tomcat實例（Windows服務器）

Tomcat實例（Linux服務器）

Web應用程序

客戶端

參考資料

釘釘打卡速度慢

Nginx R31 doc 官方文檔-01-nginx 如何安裝

Qt/C++音視頻開發74-合併標籤圖形/生成yolo運算結果圖形/文字和圖形合併成一個/水印濾鏡

挑戰程序設計競賽 2.2章習題 POJ - 3617 Best Cow Line 貪心

字節面試：MySQL什麼時候鎖表？如何防止鎖表？

.NET8連接SQL SERVER 2008 R2 報：證書鏈是由不受信任的頒發機構頒發的

golang開發環境搭建(win10)

python計算機視覺學習筆記——PIL庫的用法

Golang初學：獲取程序內存使用情況，std runtime

Nginx R31 doc 官方文檔-01-nginx 如何安裝

Nginx-05-nginx 反向代理是什麼？windows 下如何配置使用 nginx

Nginx-03-Nginx 項目架構

Nginx-01-爲什麼使用 Nginx? nginx 的優缺點

Nginx-01-聊一聊 nginx

https://yachay.unat.edu.pe/blog/index.php?comment_area=format_blog&comment_component=blog&comment_co

linux以太網驅動總結