Java SPNEGO和Kerberos票证缓存

我使用Linux、Scala web服务器、Java和Firefox来处理Kerberos

我的问题是：如果用户的票证为空，那么创建票证缓存的最佳方法是什么？向登录shell脚本添加语句以调用“kinit{user}”？或者使用表单登录，让web服务器为用户调用kinit？有没有办法强迫Firefox登录并提示用户，以便Firefox根据用户提供的凭据创建票证缓存，就像我告诉web浏览器在服务器响应WWW-Authenticate:congregate时启动SPNEGO一样

Firefox Linux正在读取票据缓存。我在铬方面运气不好。我使用了chromium--auth server whitelist=“localhost”。是否有任何其他配置设置可以让Chromium读取票据缓存？

Java应用程序可以（a）从Kerberos缓存读取TGT——通过

KRB5CCNAME

env变量或通过

/etc/krb5.conf

条目或通过系统特定的硬编码默认值定义——或（b）根据当前JAAS配置，动态创建TGT——通过使用键表文件和/或提示（如果提示功能在

security

params中解锁）——并在内存中保持其私有性。他们会随时管理服务票。但它们永远不会向缓存写入任何内容。对于服务，您应该定期在缓存中创建/续订/重新创建TGT，使用由CRON或Java服务触发的

kinit

和可选的

kinit-R

。对于用户来说，他们是否使用SSSD从Linux设备连接到外部LDAP+Kerberos系统，从而允许SSO？否则，标准方法是对web服务器使用LDAP身份验证（SSL+表单或SSL+基本身份验证），并允许服务器“模拟”用户——例如，参见Apache Knox。顺便说一句，服务可能根本不需要缓存；在安全性和健壮性方面，将Kerberos票证保持私有并保存在内存中更好（参见更新过程重写缓存时可能出现的竞争条件）