使用Active Directory用戶主體名稱的Java Kerberos身份驗證

Question

我試圖從簡單LDAP身份驗證切換到GSSAPI身份驗證。

我使用Krb5LoginModule來執行身份驗證時，將用戶名設置爲用戶的UPN，看起來像user@suffix其中後綴不是域名。

驗證失敗，因爲Krb5LoginModule假定名稱格式爲principal@realm。

是否有任何選項將包含@的用戶名傳遞給Krb5LoginModule，以便它將使用完整的用戶名而不從用戶名中提取領域？

使用sAMAccountName的作品，但我沒有用戶的sAMAccountName，但UPN。

用戶登錄到Windows作品使用UPN和我在網絡中看到捕獲的唯一區別是，在其中使用Windows登錄名型是KRB5-NT-ENTERPRISE-PRINCIPAL和KerberosString包括全UPN名作爲相反KRB5-NT-PRINCIPAL和KerberosString具有截短UPN名由Java發送。

Answer 1

你不能。 Java不支持企業主體（類型10）（主體標準化）。麻省理工學院的Kerberos。你運氣不好。