Internet上的代理Kerberos Web服务安全性

Question

是否可以将代理的Kerberos身份验证用于Internet上的Web服务？ 我正在为已经具有Active Directory的环境寻找Web服务安全性。 由于现有的体系结构，Web服务将非常混乱，我无法控制这种体系结构。 执行一个业务流程最多可能需要6个Web服务调用。

对于多次认证以及由此产生的开销，存在担忧。 从我对代理kerberos身份验证的初步阅读中，一旦提供了用户凭据，则将返回Kerberos安全令牌，并且不需要为每个Web服务调用进行身份验证。

我正在构想一个系统，在该系统中，用户凭据通过Web服务调用传递到Active Directory，并返回Kerberos令牌。 然后，此令牌用于所有后续的Web服务调用。

这可能吗？还是我要切线了？ 如果我要切线，是否有首选的方法？ 我已经读完了Microsoft Web Service安全性：WSE 3.0的方案，模式和实现指南，仍然有些不清楚。

Answer 1

考虑利用SAML协议作为通过WS-Security交换断言的方法。