带有Kerberos的Tomcat是否需要与特定用户链接的keytab文件？

Question

我们正在尝试在RHEL6.5上设置一个tomcat服务器来使用Kerberos身份验证。我们已经尝试过遵循本指南，但它似乎更适合于Windows实现。

在我们的环境中，tomcat服务将在本地用户帐户下运行，尽管服务器本身是AD的一部分。

我的查询与键标签文件相关：

1. 键签文件需要与特定用户链接吗？下面是tomcat指南中的示例命令: ktpass /out c:\tomcat.keytab /mapuser **tc01@DEV.LOCAL** /princ /win-tc01.dev.local@DEV.LOCAL /pass tc01pass /kvno 0
2. 用户是否需要成为AD的一部分，还是也可以是本地用户？

Answer 1

简短的答复如下：

1. 是
2. 是

Linux服务器不需要成为域的一部分，Tomcat进程运行的用户也不需要在Linux机器上运行。但是，您与keytab文件中的Tomcat关联的用户确实需要是域用户。