如何通过t3将身份验证令牌（如kerberos）传递给Weblogic服务器

Question

我正在进行一个旨在将单点登录（SSO）移植到现有基于Weblogic / T3的企业应用程序的项目。 理想情况下，我将能够利用我们的Windows环境使用JAAS LoginContext和GSSAPI执行此身份验证。 不幸的是，Weblogic提供的InitialContext没有对此进行记录（或者至少我还没有找到它），而且似乎没有被其他人探索过。

一种想法是对Kerberos领域（Microsoft Active Directory）进行身份验证，选择服务票证并将其传递到上下文环境中。 然后在服务器端需要自定义IdentityAsserter，以提取和验证服务票证。

有什么想法如何创建和配置这样的IdentityAsserter？ 如何将在外围验证的主体映射到应用程序主体？

我们已经考虑过将应用程序转换为使用http / https而不是t3 / t3s，但是没有计划遵循该方法，因为重新设计和相关测试的繁重工作预计会超出当前项目范围。 结果，SPNEGO，servlet过滤器，NegotiateIdentityAsserter和相关技术将无法为我们提供太多帮助。