如何使用 Kerberos 實現並行身份驗證？

Question

我需要在 Spring Boot (Java) 中並行進行多個獨立的微服務調用，以解決進行順序調用時的性能問題，並且這些微服務使用 Kerberos 進行身份驗證。

當我最初嘗試將這些調用並行進行時，我了解到在啟動並行請求時 Kerberos 票證和令牌將失效，因為之前的票證將不再有效，但我想聽聽其他專家的意見，如果有的話我們可以通過任何其他方式實現這一目標。

Answer 1

也許您可以在 Kerberos 的服務器端緩存票證和令牌。

Answer 2

當我最初嘗試將這些調用並行進行時，我了解到在啟動並行請求時 Kerberos 票證和令牌將失效，因為之前的票證將不再有效，但我想聽聽其他專家的意見，如果有的話我們可以通過任何其他方式實現這一目標。

不，票是多次使用的並且永遠不會失效（直到它達到約 10 小時到期）——你可以在klist中看到同一張票在多次運行中保持不變。 只有由票證 + 驗證者構建的令牌是一次性使用的，但應用程序可以根據需要從單個緩存票證中自由創建任意數量的令牌。

當使用例如 HTTP 時，通常您（或 HTTP 客戶端庫）會調用 GSSAPI 或 Kerberos 庫來啟動一個新的“安全上下文”並在每個 HTTP 請求之前立即獲取一個新令牌。 可以啟動多個 GSSAPI 上下文並並行獲取多個令牌； GSSAPI/Kerberos 庫將負責獲取和緩存服務票證。