Authentication solace队列的Kerberos身份验证

您好，我正在尝试使用Kerberos与solace队列建立安全连接。我已经使用Solace JMS API开发了一个客户端应用程序。据我所知，为了实现安全连接，我们需要执行以下步骤：

1） 将密钥表添加到Solace密钥表目录

2） 使用SolAdmin在Solace上执行某些配置命令

3） 导入Kerberos库并在客户端应用程序上设置某些属性

以下是我对这个话题的怀疑

1） 我想知道这些是否是安全连接需要遵循的步骤

2） 密钥表在建立安全连接中扮演什么角色

3） 如何使用kerberos设置安全连接的用户名和密码，还是默认情况下提供

---

4） 除了导入kerberos库和设置一些属性外，客户端应用程序还应该做些什么吗？

之所以使用Keytab，是因为Solace appliance作为“应用程序”无法使用用户/通过身份验证，所以所有身份验证都在Keytab中

Kerberos和Solace之间的逻辑交互如下：

• 当Kerberos身份验证方案用于客户端身份验证时，客户端必须首先使用Kerberos身份验证服务器（AS）进行身份验证，该服务器为客户端授予指定Kerberos用户主体的票证授予票证（TGT）。TGT通常作为单一登录过程的一部分获得，例如登录到Windows域。使用有效的TGT，客户端可以尝试使用客户端本地票证缓存中的服务票证或已从票证授予服务（TGS）获得的服务票证登录到路由器。AS和TGS（密钥分发中心（KDC）的组件）托管在外部服务器上，而不是Solace路由器上
• 此身份验证方案允许客户端使用GSSAPI（通用安全服务API）中的Kerberos机制来验证其与Solace路由器的连接。要通过Solace路由器进行身份验证，客户端必须提供从KDC票证授予服务（TGS）获得的服务票证。 KDC服务托管在外部服务器上。然后，客户端向Solace路由器提供这个带有时间戳的“Kerberos”票证。如果票据成功验证，则授予客户端与消息VPN的连接
• 对于此身份验证方案，客户端分配的客户端用户名（用于后续客户端授权）是提供给路由器的票证中的用户主体名称

要使用Kerberos对连接到Solace路由器的客户端进行身份验证，需要以下配置：

客户端配置

 1. SolOS 7.0 or greater must be used.
 2. A Kerberos Keytab must be loaded on the router. 
 3. Kerberos authentication must be configured and enabled for any Message VPNs that Kerberos-authenticated clients will connect to.
 4. Optionally, a Kerberos Service Principal Name (SPN) can be assigned to the IP address for the message backbone VRF that will be
used for Kerberos authenticated clients.

对于使用Solace messaging API的客户端，必须使用适当的Java发行版，或者必须为使用的Solace messaging API安装适当的Kerberos库，并且客户端会话必须使用Kerberos身份验证方案

Solace路由器配置

 1. SolOS 7.0 or greater must be used.
 2. A Kerberos Keytab must be loaded on the router. 
 3. Kerberos authentication must be configured and enabled for any Message VPNs that Kerberos-authenticated clients will connect to.
 4. Optionally, a Kerberos Service Principal Name (SPN) can be assigned to the IP address for the message backbone VRF that will be
used for Kerberos authenticated clients.

---

之所以使用Keytab，是因为Solace appliance作为“应用程序”无法使用用户/通过身份验证，所以所有身份验证都在Keytab中

Kerberos和Solace之间的逻辑交互如下：

• 当Kerberos身份验证方案用于客户端身份验证时，客户端必须首先使用Kerberos身份验证服务器（AS）进行身份验证，该服务器为客户端授予指定Kerberos用户主体的票证授予票证（TGT）。TGT通常作为单一登录过程的一部分获得，例如登录到Windows域。使用有效的TGT，客户端可以尝试使用客户端本地票证缓存中的服务票证或已从票证授予服务（TGS）获得的服务票证登录到路由器。AS和TGS（密钥分发中心（KDC）的组件）托管在外部服务器上，而不是Solace路由器上
• 此身份验证方案允许客户端使用GSSAPI（通用安全服务API）中的Kerberos机制来验证其与Solace路由器的连接。要通过Solace路由器进行身份验证，客户端必须提供从KDC票证授予服务（TGS）获得的服务票证。 KDC服务托管在外部服务器上。然后，客户端向Solace路由器提供这个带有时间戳的“Kerberos”票证。如果票据成功验证，则授予客户端与消息VPN的连接
• 对于此身份验证方案，客户端分配的客户端用户名（用于后续客户端授权）是提供给路由器的票证中的用户主体名称

要使用Kerberos对连接到Solace路由器的客户端进行身份验证，需要以下配置：

客户端配置

 1. SolOS 7.0 or greater must be used.
 2. A Kerberos Keytab must be loaded on the router. 
 3. Kerberos authentication must be configured and enabled for any Message VPNs that Kerberos-authenticated clients will connect to.
 4. Optionally, a Kerberos Service Principal Name (SPN) can be assigned to the IP address for the message backbone VRF that will be
used for Kerberos authenticated clients.

对于使用Solace messaging API的客户端，必须使用适当的Java发行版，或者必须为使用的Solace messaging API安装适当的Kerberos库，并且客户端会话必须使用Kerberos身份验证方案

Solace路由器配置

 1. SolOS 7.0 or greater must be used.
 2. A Kerberos Keytab must be loaded on the router. 
 3. Kerberos authentication must be configured and enabled for any Message VPNs that Kerberos-authenticated clients will connect to.
 4. Optionally, a Kerberos Service Principal Name (SPN) can be assigned to the IP address for the message backbone VRF that will be
used for Kerberos authenticated clients.

---

可能的答案太多，或者好的答案对于这种格式来说太长。请添加详细信息以缩小答案集或隔离可以在几个段落中回答的问题。是否有任何方法可以通过编程方式设置jass配置文件以获得安慰？可能的答案太多，或者好的答案对于此格式来说太长。请添加详细信息以缩小答案集或隔离可以在几个段落中回答的问题。是否有任何方法可以通过编程方式设置jass配置文件以获得安慰？