使用Active Directory用户主体名称的Java Kerberos身份验证

Question

我试图从简单LDAP身份验证切换到GSSAPI身份验证。

我使用Krb5LoginModule来执行身份验证时，将用户名设置为用户的UPN，看起来像user@suffix其中后缀不是域名。

验证失败，因为Krb5LoginModule假定名称格式为principal@realm。

是否有任何选项将包含@的用户名传递给Krb5LoginModule，以便它将使用完整的用户名而不从用户名中提取领域？

使用sAMAccountName的作品，但我没有用户的sAMAccountName，但UPN。

用户登录到Windows作品使用UPN和我在网络中看到捕获的唯一区别是，在其中使用Windows登录名型是KRB5-NT-ENTERPRISE-PRINCIPAL和KerberosString包括全UPN名作为相反KRB5-NT-PRINCIPAL和KerberosString具有截短UPN名由Java发送。

Answer 1

你不能。 Java不支持企业主体（类型10）（主体标准化）。麻省理工学院的Kerberos。你运气不好。