Autenticazione Kerberos, host del servizio e accesso a KDC

Ho un'applicazione web (nome host: service.domain.com) e desidero utilizzare l'autenticazione Kerberos per identificare gli utenti che hanno effettuato l'accesso a un dominio Windows. Microsoft AD (Windows Server 2008 R2) fornisce il servizio Kerberos.

Il servizio è un'applicazione Web Java che utilizza la libreria di estensioni Kerberos di Spring Security per implementare il protocollo SPNEGO / Kerberos. Ho creato un file keytab in AD che contiene un segreto condiviso che dovrebbe essere sufficiente per autenticare i ticket Kerberos inviati dai browser client tramite l'applicazione Web.

La mia domanda è: l'host del servizio (service.domain.com) deve avere l'accesso al firewall (TCP / UDP 88) a KDC (kdc.domain.com) o è il file keytab sufficiente affinché l'host del servizio sia in grado di decrittografare il Biglietti Kerberos e fornire autenticazione?

Il servizio non ha mai bisogno di parlare con il KDC . Ha bisogno di un keytab generato dal KDC , ma che puoi copiare nel modo che preferisci. Non devono mai parlarsi.

Una versione eccessivamente semplificata di ciò che credo accada va più o meno così:

Impostazione del servizio

• KDC genera un keytab di servizio (che è qualcosa come una chiave / password segreta se lo desideri)
• questo keytab viene fornito al servizio in qualche modo ( scpo portato su una chiavetta USB se lo si desidera)

Client che si connette al servizio

• il client richiede un ticket di servizio dal KDC
• KDC genera un ticket di servizio , che contiene alcune informazioni che possono essere decrittografate solo dalla tabella dei servizi (questo è il file che si trova sul tuo server)
• il client invia il proprio ticket di servizio al servizio
• il servizio utilizza il suo keytab per verificare il ticket (nessuna comunicazione di rete necessaria)