安全Java服务w/ Kerberos和JAAS
找到了关于基于这的Java的SSO系统的文章，并且想知道它在任何方面是否适用于安全的web服务。
对于安全的web服务，您需要：
- 安全的运输
- 身份验证
- 数字标志
- 加密有效载荷
通常，这可以通过一些OASIS兼容的安全框架(CXF、WSS4J、XWSS等)来实现。通过SSL进行传输。
我对Kerberos、JAAS或GSS一点都不熟悉，但在我看来，如果它们可以用来在客户端和多个Java应用程序之间保持安全连接，为什么不能使用它们与其中一个框架(如WSS4J)切线来提供WSS。
而不是SSL，我可以使用Kerberos，然后让WSS4J处理所有WS特定的东西。
这样，我就可以制作可重用的Kerberos组件，这些组件既可以用于SSO，也可以用于web服务中的传输层安全。
我在这里完全疯了吗？
回答 1
Stack Overflow用户
发布于 2011-03-14 11:27:35
尤吉，说明的要求是典型的。但细节在很大程度上有所不同。因此，就单一的办法或解决办法得出结论是不切实际的。
所需经费需要进一步细分和单独分析。
对于示例: SSO大致有两个规则:a)身份验证，b)授权。您可以同时使用单一解决方案，也可以对每个解决方案使用多个解决方案。电子计算系统可以同时使用多个身份验证，例如。基于表单的，基于证书的，基于令牌的，远程的。
在授权的情况下，我们可以使用LDAP/ActiveDirectory/Domino提供一个中心化的解决方案，也可以使用上述所有协调的分散解决方案。
这些解决方案中的每一种都有限制，例如，Kerberos对密码猜测攻击无效。
安全解决方案的选择取决于各种参数，如威胁、成本、优先级等。
WS-安全项目试图解决许多这样的架构关注点。要回答您的问题--不，不能同时使用kerberos进行SSO和传输层加密--Kiran.Kumar
https://stackoverflow.com/questions/4902764
复制相似问题
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号