通过Java应用程序使用Apache进行证书认证和授权

Question

我有一个Apache服务器，它在将请求转发到第二台服务器之前处理身份验证和授权。

从浏览器访问服务器的用户正在使用LDAP进行身份验证，并且授权会检查已定义文件中是否存在用户名。

我还有一个Java应用程序，可以访问服务器（在另一个端点），该应用程序当前将用户名和密码硬编码到请求URL中，并利用SSL上的基本身份验证。

除了使用基本身份验证之外，还可以将Apache配置为从Java应用程序接受密钥库/信任库，并在证书的CN和密码上进行身份验证/授权吗？ 如果是这样，有人可以举一个例子吗？

Answer 1

您可以将Apache配置为请求客户端证书认证，并使用+FakeBasicAuth SSLOption来保持与当前设置的兼容性。

如果可以将Java应用程序限制为某些URL，则可以要求证书身份验证，否则将其设为可选，因为您不希望其他客户端必须使用证书进行身份验证。

Apache文档的SSL / TLS-How-To中提供了很好的示例。