带有SPNEGO SSO的Tomcat 6仍然提示输入登录和密码

Question

我正在尝试使用SPNEGO筛选器为Tomcat(6)设置Windows Active Directory SSO。

<filter>
    <filter-name>SpnegoHttpFilter</filter-name>
    <filter-class>net.sourceforge.spnego.SpnegoHttpFilter</filter-class>
    <init-param>
        <param-name>spnego.allow.basic</param-name>
        <param-value>false</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.allow.localhost</param-name>
        <param-value>false</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.allow.unsecure.basic</param-name>
        <param-value>false</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.login.client.module</param-name>
        <param-value>spnego-client</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.login.server.module</param-name>
        <param-value>spnego-server</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.krb5.conf</param-name>
        <param-value>${catalina.home}\conf\krb5.conf</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.login.conf</param-name>
        <param-value>${catalina.home}\conf\login.conf</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.preauth.username</param-name>
        <param-value>aqw</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.preauth.password</param-name>
        <param-value>pass</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.prompt.ntlm</param-name>
        <param-value>false</param-value>
    </init-param>
    <init-param>
        <param-name>spnego.logger.level</param-name>
        <param-value>1</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>SpnegoHttpFilter</filter-name>
    <url-pattern>*.jsp</url-pattern>
</filter-mapping>

    [libdefaults]
default_realm = TEST.LOCAL
default_tkt_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96
default_tgs_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96
forwardable=true

[realms]
TEST.LOCAL = {
    kdc = SERVER_WITH_AD:88
    default_realm = TEST.LOCAL
}

[domain_realm]
dev.local = TEST.LOCAL
.dev.local = TEST.LOCAL

spnego-client {
    com.sun.security.auth.module.Krb5LoginModule required;
};

spnego-server {
    com.sun.security.auth.module.Krb5LoginModule required
    storeKey=true
    isInitiator=false
    useKeyTab=true
    keyTab="C:\Osys\QuartisTools\Tomcat\conf\aqw.keytab"
    ;
};

编辑：以下是我所做的：

>

我在服务器上创建了一个用户(aqw)，SERVER_WITH_AD

我使用以下命令设置他的SPN：

setspn-http/server_with_ad.test.local aqw

在某个时候，我已经不再看到用户名/登录提示符，但我现在在Tomcat中得到错误（显示为HTTP 500错误）:
krbexception：无效参数（400）-找不到合适类型的密钥来用HMAC SHA1-96解密AP REP-AES256 CTS模式
，所以它可能找不到我的keytab。

Answer 1

在出现“无法找到密钥”错误后，我根据Whome的建议重新修改了conf文件，将文件名设置为Unix风格。我把它们移到conf文件旁边，以获得尽可能短的路径。我还添加了一个主体，就像在这里描述的服务器keytab测试过程中一样，因此我的login.conf是：

spnego-client {
    com.sun.security.auth.module.Krb5LoginModule required;
};

spnego-server {
    com.sun.security.auth.module.Krb5LoginModule required
    useKeyTab=true
    keyTab="appserver.keytab"
    principal=aqw
    storeKey=true;
};  

这给了我一个校验和错误，所以我重新生成了我的keytab文件。

这又显示了一个不同的错误:
javax.security.auth.login.LoginException：没有可用于从用户获取身份验证信息的CallbackHandler

    <init-param>
        <param-name>spnego.prompt.ntlm</param-name>
        <param-value>true</param-value>
    </init-param>

    <init-param>
        <param-name>spnego.allow.basic</param-name>
        <param-value>true</param-value>
    </init-param>

    <init-param>
        <param-name>spnego.allow.localhost</param-name>
        <param-value>true</param-value>
    </init-param>

    <init-param>
        <param-name>spnego.allow.unsecure.basic</param-name>
        <param-value>true</param-value>
    </init-param>

最奇怪的是今天早上，它起作用了。我不知道为什么。重新启动我的服务器后它仍然工作。我收到“你好用户！”消息与正确的用户。但是，HelloKeytab测试类不起作用。

编辑：最后，它停止工作，不能让它工作。我一直收到校验和错误。所以我最后用了华夫饼。