具有Kerberos和JAAS的安全Java EE Web服務

Question

找到this關於的文章基於Java的SSO系統，並且想知道它是否以任何方式適用於安全Web服務。

有了安全的Web服務，您需要：

1. 安全傳輸
2. 認證
3. 數字標牌
4. 加密的有效載荷

通常，這可以與一些OASIS-完成通過SSL傳輸的兼容安全框架（CXF，WSS4J，XWSS等）。

我對Kerberos，JAAS或GSS並不熟悉，但在我看來，如果它們可以用來保持客戶端和多個Java EE應用程序之間的安全連接，爲什麼它們不能用於與其中一個框架（如WSS4J）相切以提供WSS。

除了SSL，我可以使用Kerberos，然後讓WSS4J處理所有WS特定的東西。

通過這種方式，我可以製作可重用的Kerberos組件，這些組件可用於SSO和Web服務中的傳輸層安全。

我完全不在我的搖桿嗎？

Answer 1

Eugie， 所述要求是典型的。但細節差異很大。因此，以單一方法或解決方案作爲結論是不切實際的。

需求需要進一步分解和分析分析。

例如：SSO廣義上有兩個要求a）認證b）授權。 您可以爲每種解決方案使用單一解決方案或使用多種解決方案。一個eloborate系統可以同時使用多個身份驗證，例如基於表單的，基於證書的，基於令牌的遠程身份驗證。

在授權的情況下，我們可以使用LDAP/ActiveDirectory/Domino 或分散的以上所有協調的集中式解決方案。

這些解決方案具有侷限性，例如，Kerberos是不反對的密碼猜測攻擊

安全解決方案的選擇取決於許多參數，如 persived威脅，成本prrformace等有效..

WS-Security項目試圖解決許多這樣的架構問題。 回答你的問題 - 不，你不能使用Kerberos進行SSO和傳輸層加密 --Kiran.Kumar